La inteligencia artificial se está infiltrando in ogni angolo del software e di Internet, e la sicurezza informatica non fa eccezione. Sono tante le aziende che ne stanno traendo vantaggio, e tra queste spicca Google, che ha appena dimostrato quanto possa incidere questa tecnologia quando si tratta di tappare falle nel codice.
Il colosso delle ricerche ha corretto la bellezza di 1.072 fallos de seguridad nelle ultime due versioni di Google Chrome, una cifra che da sola supera la somma di tutti i patch pubblicati nei 23 rilasci precedenti del browser. La spiegazione dietro questo salto sta nell’aver integrato modelli di linguaggio basati sull’IA in ogni fase della gestione delle vulnerabilità, dalla loro individuazione fino alla creazione vera e propria delle correzioni.
Le versioni Chrome 149 e Chrome 150, uscite di recente, accumulano quelle 1.072 correzioni contro le 1.036 messe insieme dalle 23 versioni precedenti. Google racconta di usare ormai l’intelligenza artificiale lungo tutto il ciclo di vita di una vulnerabilità. La rileva, riproduce il report, ne stabilisce la gravità, assegna il compito allo sviluppatore giusto, propone i patch candidati e genera i test per validarli. Un processo articolato, che vale la pena guardare più da vicino.
Cómo encuentran los agentes de IA los fallos en el código
Tutto è cominciato nel 2023, quando l’azienda ha iniziato a sfruttare i modelli di linguaggio per migliorare la sicurezza, ancora prima di collaborare con Project Zero su Naptime. Si tratta di un sistema che ha fornito a quei modelli strumenti specializzati per la ricerca di vulnerabilità. Poi è arrivato Big Sleep, sviluppato insieme a Google DeepMind e Project Zero, un agente che ha già scovato difetti nel motore V8 di JavaScript e nei componenti grafici del browser. All’inizio del 2026 la compagnia ha creato anche un agente basato su Gemini in grado di scandagliare l’intero codice base di Chrome, riducendo al minimo i falsi positivi.
Link affiliatoUna delle scoperte più notevoli di questo sistema è stata una fuga dal sandbox che restava nascosta nel codice da oltre 13 anni. Se fosse stata sfruttata, un renderer compromesso avrebbe potuto aggirare l’isolamento del browser e leggere i file locali del computer. Per aiutare questi agenti a capire quali operazioni hanno implicazioni sulla sicurezza, Google invita anche i suoi sviluppatori ad aggiungere file SECURITY.md che descrivano i confini di fiducia e i modelli di minaccia di ogni componente.
L’azienda tiene comunque a precisare che questi flussi con più agenti affiancano i test già esistenti, non li sostituiscono. Il metodo tradizionale resta valido per individuare le vulnerabilità più complesse.
La valanga di segnalazioni spinge verso l’automazione
Anche il programma di ricompense per le vulnerabilità di Chrome ha sentito il peso di questo cambio di approccio. Nel marzo del 2026 Google aveva già ricevuto più segnalazioni di sicurezza rispetto all’intero 2025, tanto da spingere l’azienda a modificare le condizioni del programma per dare priorità alle scoperte che aggiungono qualcosa rispetto a quanto già intercettano gli strumenti automatici.
L’automazione si è estesa a ogni fase del lavoro: filtrare spam e duplicati, riprodurre le prove di concetto, assegnare i livelli di gravità e smistare ciascun report al team competente. Google stima che questo processo faccia risparmiare centinaia di ore di lavoro ai suoi sviluppatori ogni mese. Una volta confermata una vulnerabilità, alcuni agenti generano diversi patch candidati mentre un altro agente valuta quelle proposte e fornisce informazioni aggiuntive, così che sia il team umano a prendere la decisione finale.
Link affiliatoFuente
Imagen: softzone.es