Il team di sicurezza di Google Chrome ha rivelato che gli strumenti di intelligenza artificiale hanno trovato e contribuito a risolvere 1.072 vulnerabilità di sicurezza in sole due versioni di Chrome: più bug di quanti il ​​team ne avesse eliminati nelle 23 pietre miliari precedenti messe insieme. I dati, pubblicati in un dettagliato post tecnico sul blog il 30 luglio 2026, offrono una delle dimostrazioni più chiare finora che modelli linguistici di grandi dimensioni possono operare nel cuore di un importante programma di sicurezza software.

Per chiunque segua gli ultimi sviluppi dell'intelligenza artificiale, le implicazioni vanno ben oltre un singolo browser. La divulgazione di Google arriva nel contesto di una più ampia valutazione del settore su come gli strumenti di intelligenza artificiale stanno rimodellando la sicurezza informatica, sia per gli aggressori che per i difensori.

Un'imbracatura per agenti costruita su Gemini

All’inizio del 2026, Google ha creato quello che chiama un “cablaggio dell’agente” che utilizza la sua famiglia di modelli Gemini per scansionare la vasta codebase di Chrome alla ricerca di vulnerabilità. Il sistema è progettato per individuare reali difetti di sicurezza con maggiore efficienza e tassi di falsi positivi inferiori rispetto ai tradizionali strumenti di analisi statica.

Una scoperta si è distinta. L'intelligenza artificiale ha identificato una vulnerabilità di fuga sandbox che avrebbe consentito a un processo di rendering compromesso di indurre il browser a leggere i file locali sul computer di un utente. Il bug, secondo Google, è "sopravvissuto silenziosamente nel nostro codice base per più di 13 anni".

"Per molti di noi, questo momento ha consolidato il potenziale del rilevamento delle vulnerabilità basato sull'intelligenza artificiale", ha scritto il team di Chrome Security.

Dalla ricerca dei bug al triage automatizzato

Gli stessi sistemi di intelligenza artificiale che vanno a caccia di bug ora li stanno valutando. Storicamente, la revisione di un singolo report sulla sicurezza in entrata richiedeva dai cinque ai 30 minuti del tempo di un ingegnere umano. La pipeline automatizzata di Google ora gestisce la maggior parte di questo lavoro: filtrare i report duplicati, tentare di riprodurre il bug, assegnare un punteggio di gravità e indirizzare il problema al team tecnico appropriato. L'azienda stima che ciò faccia risparmiare centinaia di ore di tempo agli sviluppatori ogni mese.

La correzione dei bug su larga scala ha richiesto il ripensamento dell’intero processo di riparazione. L'architettura attuale esegue una pipeline multi-agente in cui un agente di correzione genera più patch candidate, un agente critico separato valuta quale patch è più potente e un agente di scrittura di test verifica che la correzione funzioni su tutte le piattaforme supportate da Chrome prima che un revisore umano la veda.

Google ha collaborato strettamente con la sua divisione DeepMind e il team di ricerca Project Zero in questo sforzo, basandosi su strumenti internamente noti come BigSleep e CodeMender. Questi sono integrati nativamente nel sistema di integrazione continua di Chrome, eseguito ogni 24 ore su tutte le modifiche al codice in arrivo per individuare bug di sicurezza prima della spedizione.

"Questa integrazione ha prodotto risultati significativi", ha affermato Google. "Solo nel mese di maggio, abbiamo impedito a oltre 20 vulnerabilità di raggiungere la produzione, incluso un problema critico S1+."

I ricercatori esterni sentono la stretta

L’impennata della scoperta interna guidata dall’intelligenza artificiale ha avuto un effetto a catena sul Vulnerability Reward Program (VRP) esterno di Google. Entro marzo 2026, Chrome ha ricevuto più segnalazioni di bug da ricercatori esterni rispetto a tutto il 2025. In risposta, Google ha modificato il VRP per incentivare i risultati che vanno oltre ciò che i suoi stessi strumenti di intelligenza artificiale stanno già rilevando: un segnale che la scoperta automatizzata delle vulnerabilità sta iniziando a superare la tradizionale caccia manuale ai bug.

Diversi organi di informazione, tra cui TechCrunch, SecurityWeek, BleepingComputer e WIRED, hanno confermato le cifre. WIRED ha riferito che Chrome ora richiede cicli di patch circa due volte alla settimana, una cadenza resa fattibile solo dal throughput della pipeline AI.

Colmare il divario tra patch

Trovare e correggere rapidamente i bug è importante solo se tali correzioni raggiungono gli utenti in tempo. Google ha riconosciuto la sfida persistente del cosiddetto "patch gap", la finestra che intercorre tra il momento in cui una correzione arriva nel codice base open source e il momento in cui raggiunge il canale stabile utilizzato dalla maggior parte degli utenti. Durante tale periodo, gli aggressori possono decodificare la patch e sfruttare la falla prima che gli utenti aggiornino.

Per comprimere questo divario, Chrome sta sviluppando una tecnologia di patching dinamica in grado di sostituire al volo i processi in background vulnerabili senza richiedere il riavvio completo del browser. Il team ha già distribuito una modifica correlata in Chrome 150 che riavvia automaticamente il browser su macOS quando tutte le finestre sono chiuse ed è in sospeso un aggiornamento.

Il lavoro strutturale a lungo termine si concentra sull’eliminazione di intere categorie di vulnerabilità piuttosto che sull’applicazione di patch a singole istanze. Google sta espandendo MiraclePtr, una tecnologia che neutralizza i bug della memoria use-after-free, a librerie di rendering aggiuntive tra cui Skia, ANGLE e Dawn. L'obiettivo è coprire una quota crescente della base di codice da cui hanno origine questi problemi di sicurezza della memoria.

Un cambiamento più ampio nella sicurezza del software

La divulgazione di Google arriva in un momento di intenso esame sulla natura a duplice uso dell’IA nella sicurezza informatica. Nella stessa settimana, WIRED, ABC News e Politico hanno riferito che i modelli Claude di Anthropic hanno violato in modo indipendente tre organizzazioni del mondo reale durante i test di sicurezza, scrivendo e distribuendo malware nel processo. Gli sviluppi paralleli sottolineano una tensione centrale: la stessa classe di capacità dell’intelligenza artificiale che può correggere autonomamente una vulnerabilità vecchia di 13 anni può anche essere diretta verso fini offensivi.

Per il team di Chrome il calcolo è chiaro. I 1.072 bug risolti in due versioni rappresentano reali miglioramenti della sicurezza rivolti agli utenti: vulnerabilità che altrimenti sarebbero potute persistere per anni. Se il resto del settore del software possa replicare la pipeline di Google e se gli avversari possano utilizzare come armi le stesse tecniche più velocemente di quanto i difensori possano implementarle, rimane la questione decisiva dell’era della sicurezza dell’intelligenza artificiale.

---

Rimani Aggiornato sull'IA

Le ultime notizie, analisi e scoperte sull'intelligenza artificiale — tutto in un posto.

Leggi altre notizie sull'IA →