Google behebt dank KI über 1.000 Sicherheitslücken in zwei Chrome-Versionen

Google hat mit den Chrome-Versionen 149 und 150 insgesamt 1.072 Sicherheitslücken geschlossen, mehr als in den vorangegangenen 23 Versionen zusammen.

Nach Angaben von Google kommen große Sprachmodelle inzwischen in praktisch jedem Schritt des Prozesses zum Einsatz: beim Auffinden von Schwachstellen, der Reproduktion gemeldeter Fehler, der Einschätzung ihres Schweregrads, der Zuweisung an zuständige Entwickler, der Erstellung von Patch-Vorschlägen sowie beim Schreiben zugehöriger Tests. Bereits seit 2023 nutzt Google Sprachmodelle zur Verbesserung des sogenannten Fuzzing, gemeinsam mit Project Zero entstand daraus zunächst das System Naptime, später gemeinsam mit Google DeepMind der KI-Agent Big Sleep, der unter anderem Schwachstellen in der JavaScript-Engine V8 und in Grafikkomponenten von Chrome fand. Anfang 2026 baute Google zusätzlich einen auf dem Modell Gemini basierenden Agenten auf, der gezielt die gesamte Chrome-Codebasis nach Schwachstellen durchsucht und dabei Fehlalarme reduzieren soll.

Eine der auf diesem Weg gefundenen Schwachstellen betraf eine seit mehr als 13 Jahren im Code vorhandene Möglichkeit, aus der Sandbox von Chrome auszubrechen. Google betont, dass automatisierte Werkzeuge wie Fuzzing dadurch nicht ersetzt, sondern durch die KI-gestützten Verfahren ergänzt würden.

Deutlich mehr Meldungen über das Bug-Bounty-Programm

Parallel dazu verzeichnete Google einen deutlichen Anstieg an Meldungen über sein Chrome Vulnerability Reward Program, bereits bis März 2026 gingen mehr Meldungen ein als im gesamten Jahr 2025. Google passte das Programm daraufhin an, um gezielt jene Meldungen zu priorisieren, die über die bereits automatisiert gefundenen Schwachstellen hinausgehen. Auch die Vorprüfung eingehender Meldungen, etwa das Herausfiltern von Spam und Duplikaten, die Reproduktion von Machbarkeitsnachweisen sowie die Einstufung des Schweregrads, läuft inzwischen weitgehend automatisiert ab. Nach eigenen Angaben spart Google dadurch monatlich mehrere hundert Arbeitsstunden seiner Entwickler. Im Mai verhinderten die Systeme nach Unternehmensangaben mehr als 20 Schwachstellen, darunter eine als kritisch eingestufte, bereits vor deren Aufnahme in den produktiven Code.

Kürzerer Zeitraum zwischen Patch und Verteilung geplant

Da Angreifer veröffentlichte Quellcode-Änderungen analysieren können, um daraus die zugrunde liegende Schwachstelle zu rekonstruieren, arbeitet Google zusätzlich daran, die Zeitspanne zwischen einem fertigen Patch und dessen Verteilung an Nutzer zu verkürzen. Chrome wechselt dafür auf einen zweiwöchigen Hauptversionszyklus mit wöchentlichen Sicherheitsupdates, testweise sogar mit zwei Sicherheitsupdates pro Woche. Zusätzlich entwickelt Google ein sogenanntes dynamisches Patching, mit dem sich Updates künftig ohne Neustart des Browsers einspielen lassen sollen. Seit Chrome 150 kann der Browser unter macOS bereits automatisch neu starten, um ein anstehendes Update anzuwenden, sofern er im Hintergrund ohne geöffnete Fenster läuft.

(red)