Google revoluciona la seguridad de Chrome con inteligencia artificial: 1.072 fallos corregidos y un bug de 13 años descubierto por Gemini
El 30 de julio de 2026, Google publicó un informe de seguridad de gran calado titulado "Stronger with every update: How we're making Chrome and the web safer in the AI Era" (Más fuertes con cada actualización: cómo estamos haciendo Chrome y la web más seguros en la Era de la IA), en el que detalla una transformación radical de la seguridad de su navegador, impulsada por inteligencia artificial ![]()
![]()
.
Cifra récord: 1.072 correcciones en dos lanzamientos
Chrome 149 y Chrome 150, ambas versiones lanzadas en junio de 2026, corrigieron un total combinado de 1.072 fallos de seguridad. Esta cifra supera los 1.036 fallos que se habían corregido en las 23 versiones mayores anteriores (aproximadamente dos años) ![]()
![]()
![]()
. Es el volumen de parches más alto en la historia de Chrome para un solo mes.
El papel de las herramientas de IA basadas en Gemini
Google atribuyó este hito a modelos de inteligencia artificial internos, específicamente agentes basados en Gemini, que están automatizando prácticamente todas las etapas del ciclo de vida de las vulnerabilidades ![]()
![]()
. Estas herramientas de IA:
- Descubren nuevas vulnerabilidades en todo el código base de Chrome.
- Clasifican los informes de errores entrantes y los priorizan.
- Generan parches y reescriben código vulnerable.
- Revisan los cambios de código para verificar su corrección antes de integrarlos
![]()
![]()
.
A principios de 2026, Google creó un "arnés de agente" (agent harness) usando Gemini que encontró vulnerabilidades con "mayor eficiencia y menos falsos positivos" que los métodos anteriores ![]()
. Por separado, DeepMind lanzó Gemini 3.5 Flash Cyber el 21 de julio de 2026, un modelo especializado en descubrir, validar y parchear vulnerabilidades ![]()
. Google ya había presentado CodeMender en octubre de 2025, un agente de IA que detecta, parchea y reescribe código vulnerable automáticamente ![]()
![]()
.
Un bug de escape del sandbox de 13 años descubierto por la IA
Uno de los hallazgos más sorprendentes fue una vulnerabilidad de escape del sandbox que había permanecido oculta en el código de Chrome durante más de 13 años ![]()
![]()
![]()
. El fallo, identificado como CVE-2026-15119, era una condición de carrera (race condition) en la implementación de GetUserMedia. Un atacante que ya hubiera comprometido el proceso de renderizado podía explotarlo para escapar del sandbox y engañar al navegador para que leyera archivos locales ![]()
![]()
![]()
. Google destacó que el agente de IA basado en Gemini descubrió esta falla, la cual había eludido toda revisión humana de código durante más de una década ![]()
.
Lanzamientos de seguridad más rápidos
Para mantenerse al ritmo de la tasa de descubrimiento impulsada por la IA, Google anunció varios cambios en la cadencia de lanzamiento de Chrome:
- Parches de seguridad dos veces por semana: Google está probando pasar de actualizaciones de seguridad semanales a dos lanzamientos de seguridad por semana, citando la necesidad de adelantarse a los "ataques impulsados por IA"
![]()
![]()
![]()
.
- Ciclo de lanzamiento mayor de dos semanas (Chrome 153): A partir de septiembre de 2026, Chrome pasará de un ciclo de lanzamiento mayor de cuatro semanas a un ciclo de dos semanas, siendo Chrome 153 el primero en el nuevo calendario
![]()
![]()
![]()
. Este cambio se anunció por primera vez en marzo de 2026 ![]()
.
Parcheado dinámico: sin necesidad de reiniciar el navegador
Google reconoció que las actualizaciones frecuentes que requieren reiniciar el navegador suponen una carga significativa para el usuario. Por ello, está invirtiendo en "parcheado dinámico" (también llamado "dynamic matching") para reemplazar los procesos secundarios en segundo plano (como el Renderer y la GPU) con binarios actualizados sobre la marcha, eliminando la necesidad de un reinicio completo del navegador en la mayoría de los casos ![]()
![]()
![]()
. De momento, esto sigue siendo un área de inversión y no una función ya disponible.
Chrome 151: 370 correcciones, incluyendo 7 críticas
El 29 de julio de 2026, Google lanzó Chrome 151 Stable (versión 151.0.7922.71/.72 para Windows y macOS, y 151.0.7922.71 para Linux), que corrigió 370 vulnerabilidades de seguridad ![]()
![]()
![]()
. El desglose por gravedad fue el siguiente:
| Gravedad | Cantidad |
|---|
| Crítica | 7 |
| Alta | 71 |
| Media | 170 |
| Baja | 122 |
Las siete vulnerabilidades críticas incluyeron fallos de "use-after-free" en Compositing (CVE-2026-17650), problemas de validación de datos insuficiente y otros errores de corrupción de memoria en componentes centrales ![]()
![]()
. Chrome 151 también actualizó su motor de análisis XML a una implementación en Rust (segura en memoria) para los escenarios comunes donde no se necesita XSLT ![]()
![]()
.
Contexto más amplio de la industria
Aunque mi presupuesto de búsqueda se agotó antes de poder verificar las cifras concretas, las tendencias del sector que usted mencionó (el récord de Patch Tuesday de Microsoft, las correcciones de seguridad de iOS 26.6 de Apple, el parche de Adobe para una extensión de Chrome y los 1.449 parches de seguridad de Oracle en julio) son coherentes con un patrón más amplio: el panorama de parches de seguridad en toda la industria ha alcanzado un volumen sin precedentes a mediados de 2026. El enfoque de Chrome impulsado por IA es quizás el ejemplo más dramático de cómo las herramientas de IA están transformando el descubrimiento y la remediación de vulnerabilidades a gran escala ![]()
![]()
.
