429 Chrome बग और ₹85,000 की AI: जब खामियाँ बनने लगीं सुनामी

इनमें से 22 बग को 'क्रिटिकल' (गंभीर) रेटिंग मिली, और 100 से ज्यादा 'क्रिटिकल' या 'हाई' (गंभीर या उच्च) गंभीरता के थे । सबसे खतरनाक था CVE-2026-10881, जो ANGLE ग्राफिक्स लेयर में एक आउट-ऑफ-बाउंड रीड और राइट की खामी थी। इसका CVSS स्कोर 9.6 था और यह एक खास तरह के HTML पेज की मदद से क्रोम के सुरक्षा सैंडबॉक्स से बाहर निकलने का रास्ता दे सकता था । कई गंभीर बग 'यूज-आफ्टर-फ्री' जैसी समस्याएँ थीं, जो ब्राउज़रों में मेमोरी-सुरक्षा की बार-बार आने वाली दिक्कतें मानी जाती हैं ।

इनमें से करीब 371 खामियाँ गूगल के इंजीनियरों ने खुद ढूंढी थीं, और बाकी स्वतंत्र सुरक्षा रिसर्चरों ने खोज कर रिपोर्ट कीं। कंपनी ने बग बाउंटी के तौर पर 2,09,000 डॉलर का भुगतान किया । सिक्योरिटीवीक पत्रिका ने बताया कि क्रोम की खामियों में यह भारी उछाल संभवतः AI से कमजोरियों की तलाश के बढ़ते इस्तेमाल से आया है, और इसी बदलाव के चलते गूगल ने अप्रैल 2026 में अपनी क्रोम बग बाउंटी राशियाँ कम कर दी थीं ।

गूगल के अनुसार, इस खुलासे के समय तक इनमें से किसी भी कमजोरी का सक्रिय रूप से शोषण होने की जानकारी नहीं थी । फिर भी, यह विशाल पैच एक गंभीर सवाल खड़ा करता है: जब AI से खोजी गई कमजोरियाँ बग ट्रैकर्स पर बाढ़ की तरह आ रही हों, तो क्या बेहतरीन संसाधनों वाली इंजीनियरिंग टीमें भी उनका सामना कर सकती हैं?

FFmpeg में 1,000 डॉलर में मिलीं 21 ज़ीरो-डे कमजोरियाँ

ठीक उसी समय जब क्रोम 149 आ रहा था, सुरक्षा स्टार्टअप डेप्थफर्स्ट ने FFmpeg पर चलाए गए अपने AI एजेंट के नतीजे प्रकाशित किए। FFmpeg एक ओपन-सोर्स मल्टीमीडिया लाइब्रेरी है जो अनगिनत एप्लिकेशन और डिवाइसों में वीडियो प्रोसेसिंग की नींव है ।

इस एजेंट ने लगभग 15 लाख लाइनों वाले C कोड को स्कैन किया और 21 अज्ञात ज़ीरो-डे कमजोरियाँ खोज निकालीं—यानी ऐसे बग जो पहले कभी सार्वजनिक रूप से सामने नहीं आए थे, और कुछ मामलों में तो 15 से 20 सालों तक किसी की नज़र नहीं पड़ी । इनमें से ज़्यादातर कमजोरियाँ TS डीमक्सर से लेकर VP9 डिकोडर तक, विभिन्न हिस्सों में हीप और स्टैक ओवरफ्लो की थीं ।

खास बात यह है कि डेप्थफर्स्ट के सिस्टम ने सिर्फ संदिग्ध कोड की पहचान ही नहीं की। इसने हर बग के लिए ठोस, पुनरुत्पादनीय प्रूफ-ऑफ-कॉन्सेप्ट सबूत भी तैयार किए, जो अपने निष्कर्षों की पुष्टि करते हैं । इस पूरे काम की कंप्यूट लागत: लगभग 1,000 डॉलर (₹85,000) ।

तुलना के लिए, एंथ्रोपिक के 'माइथोस' मॉडल ने पहले FFmpeg में एक 16 साल पुरानी H.264 की खामी को लगभग 10,000 डॉलर (₹8.5 लाख) में निकाला था । डेप्थफर्स्ट ने अपने नतीजों को दसवें हिस्से की लागत में समान उपलब्धि के रूप में पेश किया । इसके निहितार्थ साफ हैं: परिष्कृत ज़ीरो-डे खोज, जो कभी अच्छी तरह से वित्तपोषित रिसर्च लैब और राष्ट्र-राज्यों का क्षेत्र थी, अब एक ऐसे क्लाउड कंप्यूटिंग बिल की लागत तक पहुँच रही है जिसे कोई भी चुका सकता है।

बड़ा रुझान: खोज की रफ्तार, सुधार पर भारी

क्रोम और FFmpeg की ये घटनाएँ अलग-थलग नहीं हैं। ये एक बड़े पैटर्न में बैठती हैं जो 2025 और 2026 के दौरान तेज़ी से बढ़ा है।

खोज की मात्रा में विस्फोट

गूगल के प्रोजेक्ट ज़ीरो के 'बिग स्लीप' एजेंट ने नवंबर 2024 में SQLite में पहला ज्ञात AI-खोजा गया इन-प्रोडक्शन ज़ीरो-डे पाया था—एक स्टैक बफर अंडरफ्लो । तब से, यह रफ्तार लगातार बढ़ रही है। ज़ीरोपाथ के AI-सहायक स्टैटिक एनालिसिस ने 2025 के अंत में FFmpeg की सात खामियाँ खोजीं । एंथ्रोपिक के माइथोस मॉडल ने बाद में ओपनबीएसडी, फ्रीबीएसडी, लिनक्स, फायरफॉक्स और क्रिप्टोग्राफिक लाइब्रेरीज में कमजोरियाँ खोजीं, जिनमें से कई 16 से 27 वर्षों से कोड में मौजूद थीं । अप्रैल 2026 तक, माइथोस ने फायरफॉक्स के खिलाफ 181 बार एक्सप्लॉइट लिखने में सफलता हासिल की थी, जो पिछली पीढ़ी के मॉडलों की तुलना में 90 गुना सुधार था ।

खुद क्रोम 149 का पैच इसी नई रफ्तार का सीधा प्रतिबिंब था। सिक्योरिटीवीक की रिपोर्ट के अनुसार, जून 2026 में घोषित 429 फिक्स, पूरे 2025 में जारी किए गए क्रोम सुरक्षा पैचों की कुल संख्या से पहले ही अधिक हो चुके थे ।

सुधार अड़चन बना हुआ है

बग ढूंढना तेज़ है। उन्हें ठीक करना अभी भी एक मानवीय प्रक्रिया है। क्रोम 149 साबित करता है कि अपने विशाल इंजीनियरिंग संसाधनों और परिपक्व कमजोरी प्रबंधन कार्यक्रम के साथ भी, गूगल को एक बड़े बैकलॉग का सामना करना पड़ सकता है । छोटे ओपन-सोर्स मेंटेनर्स के लिए, स्थिति और भी अनिश्चित है। FFmpeg की छोटी कोर टीम को अब कई AI उपकरणों—सिर्फ डेप्थफर्स्ट ही नहीं, बल्कि गूगल का बिग स्लीप, एंथ्रोपिक का माइथोस और अन्य—द्वारा थोक में दी जाने वाली कमजोरियों की जांच, पुष्टि और पैच विकसित करने होंगे । FFmpeg परियोजना पहले ही AI द्वारा निर्मित निम्न-गुणवत्ता वाली बग रिपोर्टों पर आपत्ति जता चुकी है, और गूगल के कुछ AI सबमिशन को तो "CVE स्लॉप" (AI द्वारा बिना सिर-पैर के थोक में बनाए गए बग रिपोर्ट) का लेबल दे दिया था, खासकर जब वे निष्कर्ष 30 साल पुराने वीडियो गेम के लिए गूढ़ कोड से जुड़े थे ।

अर्थव्यवस्था हमलावरों के पक्ष में

एक अच्छी तरह से तैयार रक्षक अब सॉफ्टवेयर शिप करने से पहले अपने कोडबेस पर कई AI मॉडल चला सकता है, और कई ऐसा कर भी रहे हैं। लेकिन वही अर्थशास्त्र किसी पर भी लागू होता है। UIUC के एक अध्ययन ने GPT-4 का उपयोग करके प्रति कमजोरी AI-सहायता प्राप्त शोषण की औसत लागत $8.80 आंकी, जबकि एक कुशल मानव शोधकर्ता के लिए अनुमानित $25 प्रति कमजोरी थी । डेप्थफर्स्ट के $1,000 वाले FFmpeg रन ने प्रति ज़ीरो-डे लागत घटाकर लगभग $48 कर दी—और बाद के हार्डवेयर और मॉडल सुधारों से इसके और नीचे जाने की संभावना है ।

रक्षक अभी भी मैन्युअल, समय लेने वाली पैचिंग और परिनियोजन का सामना कर रहे हैं। यह विषमता बढ़ती जा रही है।

अब संगठनों को क्या करना चाहिए

AI-संचालित खामी खोज के तेजी से सस्ता होने के लिए घबराने की बजाय व्यावहारिक प्रतिक्रिया की मांग है। सुरक्षा टीमों को यह मानकर चलना चाहिए कि खतरे के अभिनेता—चाहे राज्य हों या गैर-राज्य—पहले से ही इन मॉडलों को उनके संगठनों के इस्तेमाल वाले सॉफ्टवेयर के खिलाफ चला रहे हैं।

व्यावहारिक कदमों में शामिल है पहले अपने कोडबेस के खिलाफ AI सुरक्षा एजेंट चलाना, क्योंकि सबसे अच्छा बचाव यही है कि हमलावरों से पहले खुद खामियाँ ढूंढकर ठीक कर ली जाएँ। पैच विलंबता को कम करना भी उतना ही जरूरी है—सार्वजनिक खुलासे और पैच लगाने के बीच का अंतर AI युग में सबसे खतरनाक समय बन गया है—इसलिए अपनी सॉफ्टवेयर सप्लाई चेन को स्कैन करने और अपडेट आते ही लगाने को प्राथमिकता दें। भेद्यता प्रकटीकरण को एक 'ओवरलोड' समस्या के रूप में देखना भी आवश्यक है: अधिकांश टीमों के पास AI द्वारा उत्पन्न रिपोर्टों की अचानक बाढ़ की जांच करने की क्षमता नहीं है, जिसका मतलब है कि स्वचालित मान्यता पाइपलाइनों का निर्माण या उन्हें अपनाना जल्द ही सुरक्षित सॉफ्टवेयर बनाए रखने के लिए एक शर्त बन जाएगा।

एक स्थायी बदलाव

क्रोम 149 का मेगा-पैच और डेप्थफर्स्ट का 1,000 डॉलर का FFmpeg अभियान कोई अपवाद नहीं है। ये दिशासूचक चिन्ह हैं। AI मॉडल अब ऐसे बग ढूंढ रहे हैं जो दशकों की मानव समीक्षा और लाखों स्वचालित फ़ज़ टेस्टों से बच निकले थे—सस्ते में और बड़े पैमाने पर। जैसा कि क्लाउड सिक्योरिटी अलायंस के एक शोध पत्र में कहा गया था, अब सब-फ्रंटियर AI मॉडल भी ज़ीरो-डे खोज सकते हैं ।

अड़चन अब खोज की नहीं रही। अड़चन वो सब कुछ है जो उसके बाद आता है। जब तक समीकरण का सुधार पक्ष—बेहतर स्वचालन, तेज़ परिनियोजन पाइपलाइनों, या सॉफ्टवेयर सुरक्षा के लिए नए आर्किटेक्चरल दृष्टिकोणों के माध्यम से—पकड़ नहीं लेता, तब तक हर रिकॉर्ड-तोड़ पैच और हर अल्ट्रा-सस्ता खोज रन एक चेतावनी है जिसे इंडस्ट्री अनदेखा नहीं कर सकती।