Google sostiene di aver corretto 1.072 falle di sicurezza in Chrome nelle sole versioni 149 e 150 — più di quante ne fossero state sistemate nei precedenti 23 aggiornamenti messi insieme. Il merito, spiega il team di sicurezza del browser in un post pubblicato il 30 luglio, è di una pipeline automatizzata basata sui modelli Gemini, che ha persino scovato una vulnerabilità rimasta nascosta nel codice per oltre tredici anni. È uno dei casi più concreti finora di intelligenza artificiale al lavoro sulla sicurezza di un software usato da miliardi di persone.
I numeri: 1.072 bug in due versioni
Il dato lo mette nero su bianco lo stesso blog di Google: «Negli ultimi due traguardi, Chrome 149 e 150, abbiamo corretto 1.072 bug di sicurezza, superando il numero totale di bug corretti nei 23 traguardi precedenti messi insieme». In pratica, in due release di giugno il browser ha assorbito più correzioni di sicurezza di quante ne avesse ricevute in circa due anni di sviluppo. TechCrunch, che ha dato la notizia lo stesso giorno, fissa attorno a 1.036 il totale del periodo precedente usato come confronto.
Doug Turner, direttore dell'ingegneria di Chrome, ha riassunto così la logica del progetto: «Applicando modelli come Gemini, correggiamo le vulnerabilità in modo preventivo, superando i nostri avversari e rendendo Chrome più sicuro».
Come funziona la «caccia» automatizzata alle vulnerabilità
All'inizio del 2026 Google ha costruito quello che chiama un «vulnerability finding agent harness»: un'impalcatura di agenti basati su Gemini che scandaglia l'intero codice di Chrome — non solo i percorsi raggiungibili dai tradizionali fuzzer, i test che bombardano il programma con input casuali — usando come contesto di ragionamento l'intera cronologia Git del progetto. Il flusso di lavoro coinvolge più agenti specializzati: uno che propone la correzione, uno «critico» che la valuta e altri che scrivono i test per verificarla.
Questo sistema affianca strumenti già noti sviluppati da Google DeepMind e dal Project Zero: Big Sleep (evoluzione della linea Naptime) per la scoperta delle vulnerabilità e CodeMender per la generazione delle correzioni, integrati nel processo di integrazione continua. Il risultato, sostiene l'azienda, è un cambio di scala: l'IA non si limita a segnalare, ma propone e verifica le patch, alleggerendo il lavoro degli ingegneri umani che restano nel ciclo per l'approvazione finale.
Il bug rimasto nascosto per tredici anni
Tra le scoperte più significative c'è una vulnerabilità di tipo «sandbox escape» che, scrive Google, «è rimasta silenziosamente nel nostro codice per più di tredici anni». La sandbox è il meccanismo che isola le pagine web dal resto del sistema: se sfruttata, quella falla avrebbe permesso a un processo di rendering compromesso di ingannare il browser e leggere file locali sul computer della vittima. Un difetto sopravvissuto per oltre un decennio a innumerevoli revisioni umane, individuato da un sistema capace di ragionare sull'intera storia del progetto.
Perché conta e cosa insegna
La notizia è rilevante per due motivi. Il primo è la dimostrazione, con numeri verificabili, che i modelli linguistici possono fare ingegneria della sicurezza reale su larga scala, e non solo generare testo o rispondere a domande. Il secondo è che si tratta di IA difensiva: qui l'obiettivo dichiarato è «superare gli avversari», correggere prima che qualcuno sfrutti. Già a marzo 2026, ricorda Google, il programma di ricompense per chi segnala bug (Vulnerability Reward Program) aveva ricevuto più segnalazioni che in tutto il 2025, tanto da imporre aggiustamenti alle regole.
Restano le domande di fondo che accompagnano ogni automazione: quante di quelle 1.072 correzioni sono difetti che l'IA stessa aiuta oggi a introdurre più in fretta, dato che gran parte del codice moderno è scritto con assistenti? E quanto ci si può fidare di patch generate da un modello, per quanto verificate da altri agenti e da revisori umani? Google risponde con la struttura a più agenti, con il «critico» e con i test automatici. Ma il messaggio per l'intero settore, Italia inclusa, è chiaro: la sicurezza del software sta entrando in una fase in cui trovare e tappare le falle diventa, sempre di più, un compito che le macchine sanno svolgere a una velocità che gli esseri umani non possono eguagliare.
