AI Google’a znalazła i naprawiła 1072 błędy w Chrome w ciągu miesiąca

Gemini przejmuje kolejne etapy pracy nad podatnościami

Google używa modeli AI niemal na każdym etapie obsługi luk w zabezpieczeniach . Agenci mogą:

• wyszukiwać nowe podatności w kodzie Chrome’a,
• analizować zgłoszenia i ustalać ich priorytet,
• przygotowywać poprawki oraz przepisywać podatny kod,
• sprawdzać zmiany przed ich zaakceptowaniem .

Na początku 2026 roku Google stworzyło środowisko agentowe wykorzystujące Gemini. Według firmy system znajdował podatności skuteczniej i generował mniej fałszywych alarmów niż wcześniejsze metody . W wieloagentowym procesie jeden agent może analizować zgłoszenie, kolejny przygotowywać propozycję poprawki, następny pełnić funkcję krytyka, a inny tworzyć testy działające na różnych platformach .

To część szerszej strategii Google. W październiku 2025 roku firma zaprezentowała CodeMender — agenta, który automatycznie wykrywa i naprawia luki, a także przepisuje kod tak, aby ograniczać całe klasy podobnych błędów . Z kolei 21 lipca 2026 roku DeepMind ogłosił Gemini 3.5 Flash Cyber, wyspecjalizowany model do szybkiego wyszukiwania, weryfikowania i łatania podatności. Na razie udostępniono go rządom i zaufanym partnerom w ramach ograniczonego programu pilotażowego .

AI znalazła lukę ukrytą przez ponad 13 lat

Najbardziej wymownym przykładem możliwości nowego podejścia była podatność CVE-2026-15119, która pozostawała w kodzie Chrome’a przez ponad 13 lat .

Była to luka typu race condition w implementacji GetUserMedia. W określonych warunkach umożliwiałaby procesowi renderera, który został już przejęty przez atakującego, wydostanie się z piaskownicy i nakłonienie przeglądarki do odczytu lokalnych plików . Piaskownica to mechanizm izolujący zawartość stron internetowych od reszty systemu, dlatego jej obejście jest szczególnie niebezpieczne.

Google podkreśla, że podatność przetrwała wcześniejsze przeglądy prowadzone przez ludzi. Dla zespołu bezpieczeństwa Chrome’a jej wykrycie było ważnym potwierdzeniem potencjału automatycznego wyszukiwania luk z użyciem AI . Dla porównania, inne błędy pozwalające na ucieczkę z piaskownicy — takie jak CVE-2025-4609 — wiązały się z nagrodami za znalezienie podatności sięgającymi 250 tys. dolarów .

Aktualizacje Chrome’a będą pojawiać się częściej

Większa liczba wykrywanych błędów wymusza także szybsze dostarczanie poprawek. Google zapowiedziało kilka zmian w cyklu wydawniczym Chrome’a:

• Dwie aktualizacje zabezpieczeń tygodniowo — firma testuje przejście z cotygodniowych poprawek na dwa wydania bezpieczeństwa w tygodniu, aby skrócić czas, w którym znane luki pozostają niezałatane .
• Główne wydanie co dwa tygodnie — od września 2026 roku Chrome przejdzie z czterotygodniowego na dwutygodniowy cykl głównych wydań. Pierwszym wydaniem w nowym harmonogramie będzie Chrome 153, zaplanowany na 8 września .
• Kanał Extended Stable pozostanie przy cyklu ośmiotygodniowym — rozwiązanie to jest przeznaczone między innymi dla firm i szkół, które potrzebują więcej czasu na wdrożenie zmian .

„Dynamiczne łatanie” ma ograniczyć restarty przeglądarki

Częstsze aktualizacje oznaczają potencjalnie więcej komunikatów o konieczności ponownego uruchomienia przeglądarki. Google chce ograniczyć tę niedogodność dzięki tak zwanemu dynamicznemu łataniu (dynamic patching, określanemu także jako dynamic matching).

Mechanizm ma pozwalać na zastępowanie w tle procesów potomnych, takich jak Renderer i GPU, zaktualizowanymi plikami wykonywalnymi bez wyłączania całej przeglądarki. Celem jest wyeliminowanie pełnego restartu w większości przypadków . Google nadal opisuje tę funkcję jako obszar prac i inwestycji, a nie rozwiązanie dostępne we wszystkich sytuacjach.

Od Chrome 150 na macOS przeglądarka może też automatycznie uruchomić się ponownie w celu zastosowania oczekującej aktualizacji, jeśli działa w tle i nie ma otwartych okien .

Chrome 151 naprawił 370 podatności, w tym siedem krytycznych

29 lipca 2026 roku Google wydało stabilną wersję Chrome 151. Warianty dla Windowsa i macOS otrzymały numery 151.0.7922.71/.72, a wersja dla Linuksa — 151.0.7922.71. Aktualizacja usuwa 370 luk bezpieczeństwa .

Wśród siedmiu krytycznych problemów znalazły się między innymi:

• CVE-2026-17650 — błąd typu use-after-free w komponencie Compositing,
• CVE-2026-17651 — niewystarczająca walidacja niezaufanych danych wejściowych w Dawn,
• CVE-2026-17652 — błąd use-after-free w Views,
• CVE-2026-17653 — błąd use-after-free w Skia,
• CVE-2026-17654 — wyścig w komponencie Updater,
• kolejne krytyczne błędy w komponentach ANGLE i Ozone .

Chrome 151 otrzymał także oparty na bezpiecznym zarządzaniu pamięcią parser XML napisany w Rust. Jest on używany w typowych scenariuszach, w których nie jest potrzebna obsługa XSLT. Według dokumentacji zmiana eliminuje potencjalne błędy związane z uszkodzeniem pamięci, zachowując zgodność ze specyfikacjami sieciowymi .

Co to oznacza dla użytkowników?

Dla większości osób nic nie trzeba robić ręcznie — Chrome pobiera i instaluje aktualizacje w tle. Warto jednak pamiętać, że tempo wydań wkrótce wzrośnie. Od Chrome 153, którego stabilna wersja ma pojawić się 8 września 2026 roku, nowe główne wydania będą publikowane co dwa tygodnie zamiast co cztery .

Jeśli Google zrealizuje plan dynamicznego łatania, częstsze poprawki nie będą musiały oznaczać równie częstych przerw w pracy. Jednocześnie rekordowa liczba napraw pokazuje, że AI zmienia nie tylko sposób wyszukiwania podatności, lecz także ekonomię i organizację reagowania na zagrożenia w dużych projektach programistycznych .