L'intelligenza artificiale non è più solo una promessa, ma è diventata la forza trainante della sicurezza nel browser più diffuso al mondo. Google ha annunciato che, nel mese di giugno, Chrome ha corretto 1.072 vulnerabilità di sicurezza nelle versioni 149 e 150 , una cifra che supera il numero totale di patch applicate nelle precedenti 23 versioni messe insieme. Questo traguardo non è casuale: l'azienda attribuisce il balzo in avanti a un sistema di agenti di intelligenza artificiale basato su Gemini, che ha trasformato il modo in cui le vulnerabilità vengono individuate, classificate e corrette.
Il team di sicurezza di Chrome utilizza l'apprendimento automatico da anni, ma l'avvento dei modelli linguistici su larga scala (LLM) ha permesso di automatizzare processi che in precedenza richiedevano centinaia di ore di lavoro manuale . Secondo i dati di Google, solo a maggio sono state impedite oltre 20 vulnerabilità prima che raggiungessero l'ambiente di produzione, tra cui una falla critica che era già stata sfruttata . Questa notizia è stata riportata da diverse testate giornalistiche, che concordano sul fatto che l'intelligenza artificiale stia ridefinendo la sicurezza informatica su scala industriale.
Un record senza precedenti nel settore penitenziario.
I numeri parlano da soli. Le versioni 149 e 150 di Chrome, rilasciate a giugno, includono 1.072 patch di sicurezza, mentre le precedenti 23 versioni messe insieme ne includevano 1.036. Ciò significa che in un solo mese sono state corrette più vulnerabilità che nei due anni precedenti . Il rapporto tecnico pubblicato da Google spiega che i Large-Scale Vulnerability Managers (LLM) stanno sbloccando capacità senza precedenti per la scoperta automatizzata delle vulnerabilità , spingendo al limite le competenze umane. L'azienda sottolinea che questo approccio non sostituisce i metodi tradizionali, ma li integra, consentendo una copertura del codice sorgente molto più ampia.
Anche il Vulnerability Rewards Program (VRP) ha risentito dell'impatto. Entro marzo 2026, Google aveva già ricevuto più segnalazioni che in tutto il 2025, il che l'ha costretta a modificare i termini del programma per dare priorità alle segnalazioni che offrono qualcosa di diverso da ciò che gli strumenti automatizzati già rilevano. L'intelligenza artificiale filtra lo spam, replica le prove di concetto e assegna livelli di gravità , facendo risparmiare agli sviluppatori centinaia di ore di lavoro ogni mese.
L'agente di intelligenza artificiale che ha scoperto un difetto vecchio di 13 anni
Una delle scoperte più eclatanti del nuovo sistema è stata l'individuazione di una vulnerabilità che permetteva di eludere la sandbox, nascosta nel codice di Chrome per oltre 13 anni. Catalogata come CVE-2026-3545, con un punteggio CVSS di 9.8 (critico), questa falla avrebbe consentito a un renderer compromesso di ingannare il browser e di fargli leggere i file locali del computer. L'agente basato su Gemini, creato all'inizio del 2026, è stato responsabile del suo rilevamento, analizzando l'intero codice sorgente di Chrome con un livello di dettaglio che i team umani non possono mantenere in modo continuativo.
Google spiega che il sistema combina diversi agenti specializzati: alcuni analizzano il codice sorgente alla ricerca di modelli semantici, altri verificano la reale esistenza della vulnerabilità e altri ancora generano patch candidate. La revisione umana rimane obbligatoria prima di applicare qualsiasi modifica , ma l'intelligenza artificiale accelera notevolmente il processo. Doug Turner, direttore dell'ingegneria di Chrome, ha affermato che i modelli di logica basati su vulnerabilità (LLM) hanno radicalmente cambiato l'economia della sicurezza informatica, trasformando la scoperta delle vulnerabilità in un'operazione automatizzata su scala industriale.
Come funziona il sistema di agenti Gemini
Il sistema di Google non è un modello singolo, ma piuttosto un'orchestrazione di agenti che lavorano in sequenza. Gli agenti di rilevamento analizzano il codice di Chrome alla ricerca di pattern che potrebbero indicare vulnerabilità , utilizzando la comprensione semantica del codice, non solo i pattern testuali. Gli agenti di convalida confermano quindi se il rilevamento è reale o un falso positivo. Una volta confermato, gli agenti di correzione generano diverse potenziali patch , mentre gli agenti di valutazione delle patch le confrontano con le regole e le convenzioni di stile del progetto Chromium.
L'intero processo viene eseguito su codice archiviato su macchine protette, senza accesso generale a Internet, per mitigare i rischi. Google ha inoltre integrato strumenti di intelligenza artificiale nel suo sistema di integrazione continua (CI), che viene eseguito ogni 24 ore a tutti i livelli di build. Ciò consente il rilevamento proattivo delle falle di sicurezza prima che raggiungano l'ambiente di produzione . L'azienda afferma che i modelli generano già proposte di correzione per la maggior parte delle vulnerabilità elaborate, come dimostra il fatto che Chrome installa un modello di intelligenza artificiale da 4 GB per ottimizzare le attività locali.
Automatizzare il processo di applicazione delle patch
L'intelligenza artificiale non solo individua le vulnerabilità , ma partecipa all'intero ciclo di vita delle stesse. Dal rilevamento alla generazione delle patch, passando per la classificazione dei report e l'assegnazione dei compiti, il sistema filtra spam e duplicati, replica i test di prova, assegna livelli di gravità e instrada ogni report al team responsabile . Google stima che questo processo faccia risparmiare ai suoi sviluppatori centinaia di ore di lavoro ogni mese.
Una volta pronta, una patch viene integrata direttamente dal repository principale nel ramo stabile attivo di Chrome, che viene costantemente monitorato per prevenire nuove vulnerabilità . L'azienda ha anche iniziato ad automatizzare la generazione delle note di rilascio e delle descrizioni CVE , eliminando i colli di bottiglia manuali. A maggio, questo sistema ha impedito che oltre 20 vulnerabilità raggiungessero l'ambiente di produzione, tra cui una classificata come critica.
Aggiornamenti più rapidi e applicazione dinamica delle patch.
Individuare e correggere una vulnerabilità non protegge immediatamente gli utenti. Una volta che la modifica appare nel codice sorgente, un malintenzionato può studiarla prima che la patch raggiunga tutti i computer. Per ridurre questo periodo di vulnerabilità , Google Chrome sta modificando la frequenza degli aggiornamenti, rilasciandoli ogni due settimane con aggiornamenti di sicurezza settimanali, e sta già testando il rilascio di due aggiornamenti di sicurezza a settimana. Inoltre, sta lavorando a un sistema di patch dinamico che consentirebbe di applicare gli aggiornamenti senza dover riavviare il browser.
A partire da Chrome 150, il browser è ora in grado di riavviarsi automaticamente su macOS per installare un aggiornamento in sospeso quando è in esecuzione in background senza finestre aperte. L'obiettivo a lungo termine è quello di mantenere Chrome costantemente aggiornato, combinando patch dinamiche, riavvii automatici durante i periodi di inattività e un ripristino della sessione migliorato che impedisce la perdita delle schede aperte. Google sta inoltre passando a linguaggi di programmazione sicuri per la memoria come Rust per eliminare intere classi di vulnerabilità di sicurezza.
L'azienda ha confermato che il team di sicurezza di Chrome ha iniziato a utilizzare LLM nel 2023, ha collaborato con DeepMind e Project Zero su strumenti come Big Sleep e all'inizio del 2026 ha creato l'agente basato su Gemini che ha rivoluzionato il rilevamento delle vulnerabilità . Questa tendenza non è esclusiva di Google: anche Microsoft ha corretto un numero record di 570 vulnerabilità a giugno grazie all'intelligenza artificiale , mentre Apple mantiene cifre simili agli anni precedenti, il che suggerisce che l'integrazione dell'IA nella sicurezza fa una differenza significativa.
Il tasso di rilevamento è stato così elevato che il team ha iniziato a rilasciare patch di sicurezza due volte a settimana, una frequenza superiore a quella tipica del settore. Google stima che la classificazione automatizzata consenta di risparmiare centinaia di ore di lavoro al mese , pur riconoscendo che questa misurazione non è precisa. L'azienda sottolinea che il coinvolgimento umano rimane fondamentale: le patch generate dall'IA vengono inviate agli sviluppatori per la revisione e l'approvazione finale, e il sistema non le unisce automaticamente.
La scoperta di questa falla, risalente a 13 anni fa, dimostra il potenziale dell'intelligenza artificiale nel trovare problemi che i metodi tradizionali non riescono a rilevare. Google prevede di continuare a utilizzare l'IA per prevenire nuovi errori , identificandoli ed eliminandoli il più presto possibile dopo l'invio del codice. L'azienda sta inoltre neutralizzando i problemi presenti nell'albero delle vulnerabilità che potrebbero compromettere codice considerato sicuro singolarmente, una strategia volta a prevenire la propagazione a catena delle vulnerabilità .
Per gli utenti, il consiglio pratico rimane lo stesso: Chrome scarica automaticamente gli aggiornamenti, ma è comunque necessario riavviarlo per applicarne la maggior parte. Si consiglia di prestare attenzione alla notifica di aggiornamento e di chiudere e riaprire il browser quando necessario. La sicurezza di Chrome ha fatto un notevole passo avanti grazie all'intelligenza artificiale , ma è comunque necessaria una costante vigilanza in un ecosistema in cui anche gli aggressori possono utilizzare la stessa tecnologia per trovare vulnerabilità .
