L'équipe de sécurité Chrome de Google a révélé que les outils d'intelligence artificielle ont trouvé et aidé à corriger 1 072 failles de sécurité en seulement deux versions de Chrome, soit plus de bogues que l'équipe n'en avait corrigé au cours des 23 jalons précédents combinés. Les chiffres, publiés dans un article de blog technique détaillé le 30 juillet 2026, offrent l'une des démonstrations les plus claires à ce jour que de grands modèles de langage peuvent fonctionner au cœur d'un programme majeur de sécurité logicielle.
Pour quiconque suit les derniers développements de l’IA, les implications s’étendent bien au-delà d’un seul navigateur. La divulgation de Google intervient au milieu d'une industrie plus large qui s'interroge sur la manière dont les outils d'IA remodèlent la cybersécurité, tant pour les attaquants que pour les défenseurs.
Un harnais d'agent construit sur Gemini
Début 2026, Google a construit ce qu'il appelle un « harnais d'agents » qui utilise sa famille de modèles Gemini pour analyser la base de code tentaculaire de Chrome à la recherche de vulnérabilités. Le système est conçu pour détecter les failles de sécurité réelles avec une efficacité supérieure et des taux de faux positifs inférieurs à ceux des outils d'analyse statique traditionnels.
Une découverte s’est démarquée. L'IA a identifié une vulnérabilité d'échappement au bac à sable qui aurait permis à un processus de rendu compromis de tromper le navigateur pour qu'il lise les fichiers locaux sur la machine d'un utilisateur. Le bug, selon Google, avait « survécu discrètement dans notre base de code pendant plus de 13 ans ».
"Pour beaucoup d'entre nous, ce moment a consolidé le potentiel de la détection des vulnérabilités basée sur l'IA", a écrit l'équipe de sécurité de Chrome.
De la recherche de bogues au tri automatisé
Les mêmes systèmes d’IA qui recherchent les bugs les trient désormais. Historiquement, l'examen d'un seul rapport de sécurité entrant prenait entre cinq et 30 minutes à un ingénieur humain. Le pipeline automatisé de Google gère désormais l'essentiel de ce travail : filtrer les rapports en double, tenter de reproduire le bogue, attribuer un indice de gravité et acheminer le problème vers l'équipe d'ingénierie appropriée. L'entreprise estime que cela permet aux développeurs d'économiser des centaines d'heures chaque mois.
La correction des bugs à grande échelle a nécessité de repenser l’ensemble du processus de réparation. L'architecture actuelle exécute un pipeline multi-agents dans lequel un agent de correction génère plusieurs correctifs candidats, un agent critique distinct évalue quel correctif est le plus puissant et un agent d'écriture de tests vérifie que le correctif fonctionne sur toutes les plates-formes prises en charge par Chrome avant qu'un examinateur humain ne le voie.
Google a collaboré étroitement avec sa division DeepMind et l'équipe de recherche Project Zero dans ce cadre, en s'appuyant sur des outils connus en interne sous le nom de BigSleep et CodeMender. Ceux-ci sont intégrés de manière native au système d'intégration continue de Chrome, s'exécutant toutes les 24 heures sur toutes les modifications de code entrantes pour détecter les bogues de sécurité avant leur expédition.
"Cette intégration a donné des résultats significatifs", a déclaré Google. « Rien qu'au mois de mai, nous avons empêché plus de 20 vulnérabilités d'atteindre la production, y compris un problème critique S1+. »
Les chercheurs externes ressentent la pression
L'essor de la découverte interne basée sur l'IA a eu un effet d'entraînement sur le programme externe de récompense des vulnérabilités (VRP) de Google. En mars 2026, Chrome a reçu plus de rapports de bogues de la part de chercheurs externes qu’au cours de l’ensemble de l’année 2025. En réponse, Google a ajusté le VRP pour encourager les découvertes qui vont au-delà de ce que ses propres outils d’IA détectent déjà – un signal que la découverte automatisée des vulnérabilités commence à dépasser la chasse manuelle traditionnelle aux bogues.
Plusieurs médias, dont TechCrunch, SecurityWeek, BleepingComputer et WIRED, ont confirmé ces chiffres. WIRED a signalé que Chrome nécessite désormais des cycles de mise à jour environ deux fois par semaine, une cadence rendue possible uniquement par le débit du pipeline IA.
Combler l'écart entre les correctifs
La recherche et la correction rapides des bogues n'ont d'importance que si ces correctifs parviennent aux utilisateurs à temps. Google a reconnu le défi persistant que représente ce que l'on appelle le « patch gap » – la fenêtre entre le moment où un correctif arrive dans la base de code open source et le moment où il atteint le canal stable que la plupart des utilisateurs utilisent. Pendant cette fenêtre, les attaquants peuvent procéder à une ingénierie inverse du correctif et exploiter la faille avant la mise à jour par les utilisateurs.
Pour combler cette lacune, Chrome développe une technologie de correctifs dynamiques qui peut remplacer les processus d'arrière-plan vulnérables à la volée sans nécessiter un redémarrage complet du navigateur. L'équipe a déjà apporté une modification connexe dans Chrome 150 qui redémarre automatiquement le navigateur sur macOS lorsque toutes les fenêtres sont fermées et qu'une mise à jour est en attente.
Le travail structurel à plus long terme se concentre sur l’élimination de catégories entières de vulnérabilités plutôt que sur la correction d’instances individuelles. Google étend MiraclePtr, une technologie qui neutralise les bogues de mémoire d'utilisation après libération, à des bibliothèques de rendu supplémentaires, notamment Skia, ANGLE et Dawn. L’objectif est de couvrir une part croissante de la base de code d’où proviennent ces problèmes de sécurité de la mémoire.
Un changement plus large dans la sécurité logicielle
La divulgation de Google arrive à un moment d’examen minutieux de la nature à double usage de l’IA en matière de cybersécurité. La même semaine, WIRED, ABC News et Politico ont rapporté que les modèles Claude d'Anthropic avaient violé de manière indépendante trois organisations du monde réel lors de tests de sécurité, en écrivant et en déployant des logiciels malveillants au cours du processus. Les développements parallèles soulignent une tension centrale : la même classe de capacités d’IA qui peuvent corriger de manière autonome une vulnérabilité vieille de 13 ans peut également être orientée vers des fins offensives.
Pour l'équipe Chrome, le calcul est clair. Les 1 072 bugs corrigés dans deux versions représentent de réelles améliorations de sécurité destinées aux utilisateurs – des vulnérabilités qui autrement auraient pu persister pendant des années. La question déterminante de l’ère de la sécurité de l’IA reste de savoir si le reste de l’industrie du logiciel peut reproduire le pipeline de Google et si les adversaires peuvent utiliser les mêmes techniques plus rapidement que les défenseurs ne peuvent les déployer.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
