Googlen Gemini-agentit löysivät Chromesta 1 072 tietoturva-aukkoa – yksi oli piileskellyt yli 13 vuotta

Gemini-agentit käyvät läpi koko haavoittuvuuksien käsittelyketjun

Google ei käytä tekoälyä vain aukkojen etsimiseen. Gemini-pohjaiset työkalut osallistuvat yhtiön mukaan lähes koko haavoittuvuuksien käsittelyyn . Ne voivat:

• etsiä uusia haavoittuvuuksia Chromen lähdekoodista
• luokitella ja tärkeysjärjestää vikailmoituksia
• tuottaa ehdotuksia korjaavaksi koodiksi ja kirjoittaa haavoittuvaa koodia uudelleen
• tarkistaa muutosten toimivuutta ennen niiden yhdistämistä koodipohjaan .

Alkuvuodesta 2026 Google rakensi Geminin ympärille agenttikehyksen, jonka se kertoo löytäneen haavoittuvuuksia aiempia menetelmiä tehokkaammin ja pienemmällä väärien hälytysten määrällä . Google on lisäksi käyttänyt monen agentin työnkulkuja, joissa eri tekoälyagentit esimerkiksi luokittelevat ongelmia, laativat korjausehdotuksia, toimivat kriitikkoina ja kirjoittavat eri alustoilla ajettavia testejä .

Kehitys liittyy laajempaan Googlen tietoturvatyöhön. DeepMind julkisti 21. heinäkuuta 2026 Gemini 3.5 Flash Cyber -mallin, joka on suunniteltu haavoittuvuuksien löytämiseen, varmistamiseen ja korjaamiseen . Google esitteli CodeMender-agentin jo lokakuussa 2025. Sen tarkoitus on havaita haavoittuvuuksia, korjata niitä ja muokata koodia niin, että kokonaisia haavoittuvuusluokkia voitaisiin ehkäistä .

Yksi aukoista oli ollut Chromessa yli 13 vuotta

Huomiota herättävin löytö oli CVE-2026-15119, selaimen hiekkalaatikon ohituksen mahdollistava haavoittuvuus. Se oli ollut Chromen koodissa piilossa yli 13 vuoden ajan .

Haavoittuvuus liittyi GetUserMedia-toteutuksen kilpailutilanteeseen. Jos hyökkääjä olisi ensin saanut selainprosessin renderöijän hallintaansa, vika olisi voinut auttaa tätä poistumaan Chromen rajoitetusta hiekkalaatikosta ja huijaamaan selainta lukemaan paikallisia tiedostoja .

Selainhiekkalaatikko on suojauskerros, jonka tarkoitus on rajata verkkosivun tai muun epäluotettavan sisällön oikeuksia. Sen ohittaminen on erityisen vakava tilanne: hyökkääjä voi yrittää siirtyä selaimen rajatusta ympäristöstä käyttäjän laitteen puolelle. Google kertoo, että Gemini-agentti löysi tämän virheen, vaikka aiemmat ihmisten tekemät koodikatselmoinnit eivät olleet paljastaneet sitä .

Chrome-päivityksiä voi tulla jatkossa kahdesti viikossa

Google aikoo nopeuttaa päivityksiä, jotta löydettyjen aukkojen ja käyttäjille toimitettavien korjausten väli jäisi lyhyemmäksi:

• Tietoturvapäivityksiä testataan kahdesti viikossa. Google pilotoi siirtymistä viikoittaisista tietoturvajulkaisuista kahteen julkaisuun viikossa. Yhtiö perustelee muutosta tarpeella pysyä tekoälyavusteisten hyökkäysten edellä .
• Pääversiot vaihtuvat kahden viikon välein. Syyskuusta 2026 lähtien Chrome siirtyy nykyisestä neljän viikon julkaisurytmistä kahden viikon sykliin. Ensimmäinen uusiin aikatauluihin kuuluva vakaa versio on Chrome 153, jonka julkaisupäivä on 8. syyskuuta .
• Yrityksille tarkoitettu Extended Stable -kanava säilyy kahdeksan viikon rytmissä. Se antaa organisaatioille enemmän aikaa testata ja hallita käyttöönottoja .

Google on julkaissut Chromelle viikoittaisia tietoturvapäivityksiä vuodesta 2023 lähtien. Uusi malli lisää painetta myös selainylläpitäjille ja organisaatioiden IT-ylläpidolle, mutta samalla haavoittuvuuksien korjaaminen voi nopeutua huomattavasti .

Tavoitteena päivitykset ilman selaimen uudelleenkäynnistystä

Tiheämpi päivitystahti voi olla käyttäjälle hankala, jos selain keskeyttää työn ja pyytää uudelleenkäynnistystä. Siksi Google kehittää niin kutsuttua dynaamista paikkausta – lähteissä myös nimellä ”dynamic matching” kuvattua tekniikkaa .

Ideana on korvata Chromen taustalla toimivia aliprosesseja, kuten renderöijää ja grafiikkasuoritinta käyttävää GPU-prosessia, päivitetyillä ohjelmatiedostoilla lennossa. Tällöin koko selainta ei useimmissa tapauksissa tarvitsisi käynnistää uudelleen .

Kyse on vielä Googlen kehityskohteesta, ei kaikille käyttäjille valmiiksi toimitetusta ominaisuudesta. Chrome 150:n macOS-versiossa selain voi kuitenkin jo käynnistyä automaattisesti uudelleen asentaakseen odottavan päivityksen, jos se on taustalla eikä avoimia ikkunoita ole .

Chrome 151 korjasi 370 haavoittuvuutta

Google julkaisi Chrome 151 Stable -version 29. heinäkuuta 2026. Päivitys korjasi yhteensä 370 tietoturvahaavoittuvuutta . Korjausten vakavuusjakauma oli seuraava:

Seitsemän kriittisen haavoittuvuuden joukossa olivat muun muassa seuraavat:

• CVE-2026-17650: vapautetun muistin käyttö Compositing-komponentissa
• CVE-2026-17651: epäluotettavan syötteen riittämätön validointi Dawn-komponentissa
• CVE-2026-17652: vapautetun muistin käyttö Views-komponentissa
• CVE-2026-17653: vapautetun muistin käyttö Skia-komponentissa
• CVE-2026-17654: kilpailutilanne päivitysohjelmassa
• lisäksi kriittiset haavoittuvuudet ANGLE- ja Ozone-komponenteissa .

Chrome 151:n toinen merkittävä muutos koskee XML-jäsennintä. Google siirtyi yleisissä tapauksissa, joissa XSLT:tä ei tarvita, muistiturvalliseen Rust-toteutukseen. Yhtiön mukaan muutos poistaa mahdollisia muistinkorruptio-ongelmia ja säilyttää samalla yhteensopivuuden verkkostandardien kanssa .

Mitä Chrome-käyttäjän pitää tehdä?

Useimmille käyttäjille muutos näkyy ennen kaikkea päivitysilmoituksina ja mahdollisesti aiempaa tiheämpänä version vaihtumisena. Chrome päivittää itsensä yleensä taustalla, joten erillisiä toimia ei tavallisesti tarvita.

Chrome 153:n myötä vakaat pääversiot julkaistaan 8. syyskuuta 2026 alkaen kahden viikon välein . Dynaamisen paikkauksen tavoitteena on vähentää uudelleenkäynnistyksiä, vaikka tietoturvakorjauksia toimitetaan useammin.

Googlen luvut kertovat samalla muutoksesta tietoturvatyön mittakaavassa. Tekoäly ei korvaa ihmisten tekemää arviointia, mutta se voi käydä läpi suuria koodimääriä ja käsitellä korjausehdotuksia nopeudella, johon perinteinen manuaalinen työ ei yksin yllä. Chrome-tiimin johtaja Doug Turner kuvasi TechCrunchille, että suuret kielimallit ovat muuttaneet tietoturvan taloudellista toimintalogiikkaa perusteellisesti .