AI Gemini Google Temui dan Baiki 1,072 Pepijat Chrome dalam Sebulan

Menurut laporan berkaitan, lonjakan itu sebahagian besarnya didorong oleh proses dalaman Chrome yang menggunakan AI untuk mencari kelemahan, menyusun keutamaan laporan dan membangunkan tampalan .

Gemini mengautomasikan hampir seluruh proses keselamatan

Google menggunakan model dalaman berasaskan Gemini untuk menyokong hampir setiap peringkat kitar hayat kelemahan perisian . Antara tugas yang boleh dilakukan oleh sistem ini ialah:

• Mengesan kelemahan baharu dalam pangkalan kod Chrome
• Menyusun dan menilai laporan pepijat yang masuk
• Menjana tampalan serta menulis semula kod yang terdedah
• Menyemak perubahan kod sebelum ia digabungkan ke dalam projek

Pada awal 2026, Google membina rangka kerja ejen menggunakan Gemini untuk mengimbas kod Chrome dengan kecekapan lebih tinggi dan kadar positif palsu yang lebih rendah berbanding kaedah terdahulu . Google juga menggunakan aliran kerja berbilang ejen: satu ejen boleh menyusun isu, ejen lain mencadangkan pembaikan, manakala ejen lain bertindak sebagai pengkritik dan menulis ujian merentas platform .

Usaha ini turut melibatkan CodeMender, ejen AI yang diumumkan DeepMind pada Oktober 2025 untuk mengesan, menampal dan menulis semula kod yang mempunyai kelemahan . Pada 21 Julai 2026, DeepMind pula memperkenalkan Gemini 3.5 Flash Cyber, model khusus untuk menemui, mengesahkan dan membaiki kelemahan keselamatan dalam program perintis dengan akses terhad .

AI menemui pepijat ‘sandbox escape’ berusia 13 tahun

Penemuan paling mengejutkan ialah satu kelemahan sandbox escape yang dipercayai telah tersembunyi dalam kod Chrome selama lebih 13 tahun .

Kelemahan itu, yang dikenal pasti sebagai CVE-2026-15119, merupakan keadaan perlumbaan (race condition) dalam pelaksanaan GetUserMedia. Jika dieksploitasi selepas proses renderer dikompromi, ia berpotensi membolehkan penyerang keluar daripada persekitaran terhad Chrome dan memperdaya pelayar supaya membaca fail tempatan .

Dalam konteks keselamatan pelayar, “sandbox” berfungsi seperti kawasan berkurung yang mengehadkan apa yang boleh dilakukan oleh halaman web atau proses yang telah terjejas. Oleh itu, kelemahan yang membolehkan penyerang keluar daripada kawasan ini dianggap amat berbahaya.

Google berkata ejen berasaskan Gemini menemui pepijat tersebut walaupun ia telah terlepas daripada semakan kod manusia selama lebih sedekad. Bagi pasukan keselamatan Chrome, penemuan itu menunjukkan potensi besar AI dalam mengesan kelemahan yang sukar dikesan melalui kaedah tradisional .

Chrome akan menerima kemas kini dengan lebih kerap

Peningkatan kadar penemuan pepijat menyebabkan Google turut merancang untuk mempercepatkan jadual kemas kini Chrome:

• Tampalan keselamatan dua kali seminggu: Google sedang menguji peralihan daripada satu keluaran keselamatan seminggu kepada dua keluaran seminggu, dengan alasan perlu mengurangkan jurang masa ketika pengguna terdedah kepada ancaman yang dipacu AI .
• Keluaran utama setiap dua minggu: Mulai September 2026, Chrome akan beralih daripada kitaran empat minggu kepada kitaran dua minggu. Chrome 153 dijadualkan menjadi keluaran pertama mengikut jadual baharu itu pada 8 September 2026 .
• Extended Stable kekal lapan minggu: Saluran ini akan terus disediakan untuk organisasi perusahaan dan institusi yang memerlukan lebih banyak masa bagi menguji serta melancarkan kemas kini .

Google mahu kurangkan keperluan untuk mulakan semula Chrome

Kemas kini yang kerap biasanya bermakna pengguna perlu memulakan semula pelayar — sesuatu yang boleh mengganggu kerja, terutama apabila banyak tab sedang dibuka.

Bagi mengurangkan gangguan itu, Google sedang melabur dalam teknologi “dynamic patching”, atau “dynamic matching”. Teknologi ini bertujuan menggantikan proses latar belakang seperti Renderer dan GPU dengan binari yang telah dikemas kini secara terus, tanpa memerlukan pelancaran semula penuh dalam kebanyakan keadaan .

Buat masa ini, ciri tersebut masih diterangkan sebagai bidang pembangunan dan pelaburan Google, bukannya fungsi yang tersedia secara menyeluruh. Bermula dengan Chrome 150 pada macOS, pelayar juga boleh memulakan semula dirinya secara automatik untuk menggunakan kemas kini tertangguh apabila ia berjalan di latar belakang tanpa tetingkap terbuka .

Chrome 151 membaiki 370 kelemahan, termasuk tujuh kritikal

Pada 29 Julai 2026, Google melancarkan Chrome 151 Stable untuk Windows, macOS dan Linux. Keluaran itu membaiki 370 kelemahan keselamatan . Pecahannya ialah:

Antara kelemahan kritikal yang disenaraikan ialah:

• CVE-2026-17650: Use-after-free dalam Compositing
• CVE-2026-17651: Pengesahan input tidak dipercayai yang tidak mencukupi dalam Dawn
• CVE-2026-17652: Use-after-free dalam Views
• CVE-2026-17653: Use-after-free dalam Skia
• CVE-2026-17654: Keadaan perlumbaan dalam Updater
• Kelemahan kritikal tambahan dalam komponen ANGLE dan Ozone

Chrome 151 turut mula menggunakan pelaksanaan parser XML berasaskan Rust yang selamat memori untuk senario biasa yang tidak memerlukan XSLT. Menurut nota keluaran Google, perubahan ini bertujuan menghapuskan potensi pepijat kerosakan memori sambil mengekalkan keserasian dengan spesifikasi web .

Apa maknanya kepada pengguna Chrome?

Bagi kebanyakan pengguna, tiada tindakan khas diperlukan kerana Chrome akan memuat turun kemas kini secara automatik di latar belakang. Namun, pengguna masih perlu memastikan pelayar dibenarkan untuk memasang kemas kini dan dimulakan semula apabila diminta.

Mulai Chrome 153 pada September 2026, keluaran utama akan hadir setiap dua minggu berbanding setiap empat minggu. Jika teknologi tampalan dinamik Google berjaya dilaksanakan dengan meluas, kemas kini yang lebih kerap itu mungkin tidak lagi bermakna gangguan melalui mula semula pelayar setiap kali.

Perkembangan ini turut menggambarkan perubahan lebih besar dalam keselamatan siber. Dengan AI membantu menemui, mengesahkan dan membaiki kelemahan pada kadar yang jauh lebih tinggi, syarikat teknologi kini perlu mempercepatkan bukan sahaja proses pembangunan tampalan, tetapi juga cara tampalan itu dihantar kepada pengguna .