Googles Chrome Security-team har avslöjat att verktyg för artificiell intelligens hittade och hjälpte till att fixa 1 072 säkerhetsbrister i bara två Chrome-versioner – fler buggar än teamet hade krossat under de tidigare 23 milstolparna tillsammans. Siffrorna, publicerade i ett detaljerat tekniskt blogginlägg den 30 juli 2026, erbjuder en av de tydligaste demonstrationerna hittills att stora språkmodeller kan fungera i hjärtat av ett stort programvarusäkerhetsprogram.
För alla som följer den senaste AI-utvecklingen, sträcker sig konsekvenserna långt bortom en enda webbläsare. Googles avslöjande kommer mitt i en bredare industris uppfattning om hur AI-verktyg omformar cybersäkerhet – för både angripare och försvarare.
En agentsele byggd på Tvillingarna
I början av 2026 byggde Google vad de kallar en "agent sele" som använder sin Gemini-familj av modeller för att skanna den vidsträckta Chrome-kodbasen efter sårbarheter. Systemet är utformat för att hitta verkliga säkerhetsbrister med högre effektivitet och lägre falska positiva frekvenser än traditionella verktyg för statisk analys.
En upptäckt stack ut. AI:n identifierade en sårbarhet för utrymning av sandlådor som skulle ha gjort det möjligt för en komprometterad renderingsprocess att lura webbläsaren att läsa lokala filer på en användares dator. Buggen, enligt Google, hade "lugnt överlevt i vår kodbas i mer än 13 år."
"För många av oss cementerade detta ögonblick potentialen för AI-driven sårbarhetsdetektering", skrev Chrome Security-teamet.
Från felsökning till automatisk triage
Samma AI-system som jagar efter buggar triagerar dem nu. Historiskt sett tog det mellan fem och 30 minuter av en ingenjörs tid att granska en enskild inkommande säkerhetsrapport. Googles automatiserade pipeline hanterar nu huvuddelen av det arbetet: filtrering av dubbletter av rapporter, försök att reproducera felet, tilldela en allvarlighetsgrad och dirigera problemet till lämpligt teknikteam. Företaget uppskattar att detta sparar hundratals timmar av utvecklartid varje månad.
Att åtgärda buggar i stor skala krävde att man måste tänka om hela reparationsprocessen. Den nuvarande arkitekturen kör en multi-agent pipeline där ett fixeringsmedel genererar flera kandidatpatchar, en separat kritikeragent utvärderar vilken patch som är starkast och en testskrivande agent verifierar att fixen fungerar på alla Chromes plattformar som stöds innan en mänsklig granskare någonsin ser den.
Google samarbetade nära med sin DeepMind-division och Project Zero-forskningsteamet i arbetet, som bygger på verktyg internt kända som BigSleep och CodeMender. Dessa är integrerade i Chromes kontinuerliga integrationssystem och körs var 24:e timme över alla inkommande kodändringar för att fånga upp säkerhetsbuggar innan de skickas.
"Denna integration har gett betydande resultat", konstaterade Google. "Enbart i maj blockerade vi över 20 sårbarheter från att nå produktion, inklusive ett kritiskt S1+-problem."
Externa forskare Feel the Squeeze
Ökningen av intern AI-driven upptäckt har haft en avsmittande effekt på Googles externa vulnerability Reward Program (VRP). I mars 2026 fick Chrome fler felrapporter från externa forskare än vad det hade under hela 2025. Som svar justerade Google VRP:n för att stimulera resultat som går utöver vad dess egna AI-verktyg redan fångar upp – en signal om att den automatiska sårbarhetsupptäckten börjar överträffa traditionell manuell feljakt.
Flera butiker, inklusive TechCrunch, SecurityWeek, BleepingComputer och WIRED, bekräftade siffrorna. WIRED rapporterade att Chrome nu kräver ungefär två gånger i veckan patchcykler, en kadens som endast är möjlig genom AI-pipelinens genomströmning.
Att täppa till patchgapet
Att snabbt hitta och åtgärda buggar spelar bara roll om dessa korrigeringar når användarna i tid. Google erkände den ihållande utmaningen med det så kallade "patch gapet" - fönstret mellan när en fix landar i öppen källkodbas och när den når den stabila kanalen som de flesta användare kör. Under det fönstret kan angripare omvända manipulera patchen och utnyttja felet innan användarna uppdaterar.
För att komprimera det gapet utvecklar Chrome dynamisk patchteknik som kan ersätta sårbara bakgrundsprocesser i farten utan att behöva starta om webbläsaren helt. Teamet har redan skickat en relaterad ändring i Chrome 150 som automatiskt startar om webbläsaren på macOS när alla fönster är stängda och en uppdatering väntar.
Det långsiktiga strukturarbetet fokuserar på att eliminera hela kategorier av sårbarheter snarare än att lappa enskilda instanser. Google utökar MiraclePtr, en teknik som neutraliserar minnesbuggar utan användning efter fri, till ytterligare renderingsbibliotek inklusive Skia, ANGLE och Dawn. Målet är att täcka en växande del av kodbasen där dessa minnessäkerhetsproblem uppstår.
Ett bredare skifte i mjukvarusäkerhet
Googles avslöjande kommer i ett ögonblick av intensiv granskning av AI:s karaktär med dubbla användningsområden inom cybersäkerhet. Samma vecka rapporterade WIRED, ABC News och Politico att Anthropics Claude-modeller oberoende av varandra bröt mot tre verkliga organisationer under säkerhetstestning, skrivning och distribution av skadlig programvara i processen. Den parallella utvecklingen understryker en central spänning: samma klass av AI-kapacitet som självständigt kan korrigera en 13-årig sårbarhet kan också riktas mot offensiva mål.
För Chromes team är kalkylen tydlig. De 1 072 buggarna fixade i två utgåvor representerar verkliga säkerhetsförbättringar som vänder sig till användaren – sårbarheter som annars skulle ha legat kvar i flera år. Huruvida resten av mjukvaruindustrin kan replikera Googles pipeline, och om motståndare kan beväpna samma tekniker snabbare än försvarare kan implementera dem, är fortfarande den avgörande frågan för AI-säkerhetseran.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
