Auf den Punkt: KI-gestützte Systeme haben Googles Patch-Geschwindigkeit und -Volumen massiv erhöht, während gleichzeitig der Zeit zwischen Patch und Nutzer-Verteilung verkürzt werden soll.
Google hat in den Chrome-Versionen 149 und 150 insgesamt 1.072 Sicherheitslücken geschlossen — mehr als in den vorherigen 23 Versionen zusammen. Sprachmodelle kommen dabei in praktisch jedem Schritt des Vulnerability-Management-Prozesses zum Einsatz, von der Schwachstellen-Erkennung bis zur Test-Erstellung.
Google nutzt Sprachmodelle mittlerweile in praktisch jedem Stadium der Sicherheitsarbeit: beim Auffinden von Schwachstellen, der Reproduktion gemeldeter Fehler, der Schweregrad-Einschätzung, der Zuweisung an Entwickler, der Erstellung von Patch-Vorschlägen sowie beim Schreiben zugehöriger Tests. Seit 2023 arbeitet Google mit Fuzzing-Techniken, die durch Sprachmodelle verbessert wurden. Mit dem Sicherheitsteam Project Zero entstand das System Naptime, später zusammen mit Google DeepMind der KI-Agent Big Sleep, der Schwachstellen in der JavaScript-Engine V8 und in Grafikkomponenten fand. Anfang 2026 baute Google einen auf Gemini basierenden Agenten auf, der die gesamte Chrome-Codebasis systematisch nach Schwachstellen durchsucht und Fehlalarme reduzieren soll.
Eine der auf diese Weise entdeckten Lücken war eine seit über 13 Jahren vorhandene Sandbox-Escape-Möglichkeit. Google betont, dass KI-gestützte Verfahren traditionelle Fuzzing-Werkzeuge nicht ersetzen, sondern ergänzen. Parallel stieg die Zahl der Meldungen über das Chrome Vulnerability Reward Program deutlich an: Bis März 2026 gingen mehr Meldungen ein als im gesamten Jahr 2025. Google passte das Programm an, um gezielt Meldungen zu priorisieren, die über die automatisiert gefundenen Lücken hinausgehen. Die Vorprüfung eingehender Reports — Spam- und Duplikat-Filterung, Reproduktion von Nachweisen, Schweregrad-Einstufung — läuft inzwischen weitgehend automatisiert ab. Nach Googles Angaben spart das mehrere hundert Arbeitsstunden der Entwickler monatlich ein. Im Mai verhinderten die Systeme über 20 Schwachstellen, darunter eine kritische, vor deren Integration in produktiven Code.
Um das Fenster auszunutzen, das Angreifern bleibt, nachdem sie veröffentlichte Quellcode-Änderungen analysiert haben, arbeitet Google an einer Verkürzung des Zeitraums zwischen fertigem Patch und Nutzer-Verteilung. Chrome wechselt zu einem zweiwöchigen Hauptversions-Zyklus mit wöchentlichen Sicherheitsupdates und testet sogar zwei Sicherheitsupdates pro Woche. Zusätzlich entwickelt Google dynamisches Patching, das Updates künftig ohne Browser-Neustart einspielen soll. Seit Chrome 150 kann der Browser unter macOS bereits automatisch neu starten, um ein anstehendes Update anzuwenden, wenn er im Hintergrund ohne geöffnete Fenster läuft.
Quelle: www.it-daily.net · Erschienen 1. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.