In questo articolo Indice dei contenuti 3 sezioni
Un bug in Chrome rimasto nascosto per tredici anni è finito sotto la lente di un sistema di intelligenza artificiale sviluppato da Google, che lo ha individuato dopo che generazioni di sviluppatori umani gli erano passate accanto senza accorgersene. Non è un caso isolato, anzi. È il primo risultato visibile di un impianto costruito attorno a più agenti specializzati, ognuno con un compito preciso, che seguono una vulnerabilità dalla scoperta fino alla patch definitiva, verifiche e test compresi.
I numeri raccontano bene la portata della cosa. Nelle ultime due versioni del browser, Chrome 149 e Chrome 150, sono state corrette in totale 1.072 vulnerabilità di sicurezza. Più di quante ne fossero state risolte nelle 23 versioni precedenti messe insieme. Un salto di scala che difficilmente si spiega con il solo lavoro manuale.
Come lavorano gli agenti AI sul codice di Chrome
Il meccanismo è a catena. Un modello linguistico individua la falla e produce un rapporto tecnico. Poi entra in scena un secondo agente, che prova a riprodurre l’exploit sul sistema operativo e sulla versione di Chrome coinvolti, raccogliendo tutti i dettagli utili. A quel punto tocca a un agente dedicato alla correzione, che sulla base del contesto propone più patch candidate. Un altro agente ancora le valuta e sceglie. Solo alla fine arriva la revisione di uno sviluppatore in carne e ossa, prima che la correzione venga effettivamente rilasciata.
A questo si aggiungono strumenti nati dalla collaborazione con DeepMind e Project Zero, che passano al setaccio le modifiche al codice ogni 24 ore. Solo a maggio quel sistema ha bloccato oltre 20 vulnerabilità prima che finissero in una versione pubblica del browser. Difetti intercettati e chiusi mentre erano ancora in fase di sviluppo, insomma, senza mai arrivare sui computer degli utenti.
Il problema del patch gap e la corsa contro il tempo
C’è però un rovescio della medaglia che Google conosce benissimo. Trovare e correggere i bug più in fretta significa anche esporli prima. Quando una patch compare nel codice sorgente pubblico di Chromium, chiunque può studiarla e risalire alla vulnerabilità che va a chiudere, e questo accade prima che l’aggiornamento raggiunga tutta la platea di utenti. Quella finestra ha un nome preciso, patch gap, ed è un rischio concreto per chi non ha ancora aggiornato il browser.
La risposta passa da un ciclo di rilascio bimestrale per le versioni major, affiancato da patch di sicurezza settimanali. Il passaggio è già in corso. L’ambizione però va oltre, e punta a un sistema di aggiornamento dinamico capace di sostituire i singoli processi di Chrome in background, senza costringere a chiudere e riaprire il browser. Sono in corso anche test su riavvii automatici opportunistici, pensati per non interrompere la sessione di navigazione mentre si sta lavorando o leggendo qualcosa.
L’idea di fondo è trasformare Chrome in una specie di servizio live perennemente aggiornato, dove l’intervallo tra la scoperta di una falla e la protezione effettiva dell’utente si avvicina il più possibile allo zero.
Un’arma che taglia da entrambi i lati
Vale la pena tenere presente un dettaglio non trascurabile. Gli stessi strumenti di intelligenza artificiale che Google impiega per blindare il proprio browser sono alla portata di chiunque voglia usarli per cercare falle da sfruttare. La partita quindi non si gioca tra Google e i bug, ma tra Google e chi quei bug intende monetizzare o usare per attacchi mirati. L’AI accelera i tempi su entrambi i fronti, e il vero vantaggio resta nelle mani di chi installa gli aggiornamenti più in fretta.
Nel frattempo Chrome continua a scaricare modelli AI in background e a gestire in autonomia le protezioni contro le notifiche spam, funzioni già attive e configurabili dalle impostazioni del browser.
