La sicurezza di Chrome sta prendendo una piega che pochi si aspettavano fino a qualche tempo fa. Google ha deciso di puntare forte sull’intelligenza artificiale per stanare, analizzare e sistemare le vulnerabilità del browser più diffuso al mondo, e i primi numeri raccontano una storia interessante. Dietro le quinte c’è un lavoro enorme che coinvolge i modelli della famiglia Gemini, gli strumenti nati in casa DeepMind e il team di Project Zero, con risultati che l’azienda stessa definisce importanti. L’idea di fondo è duplice, individuare i bug prima che qualcuno possa sfruttarli e allo stesso tempo accorciare i tempi con cui le correzioni arrivano davvero sui dispositivi delle persone, magari senza nemmeno dover riavviare tutto.
L’IA scova falle rimaste nascoste per anni
Google ha spiegato in un approfondimento sul blog di Chromium di aver costruito una serie di framework basati su agenti IA che lavorano direttamente dentro il codice sorgente. Questi sistemi passano al setaccio il progetto senza sosta, a caccia di problemi, e danno una mano agli sviluppatori nelle varie fasi della risoluzione. I risultati parlano chiaro. Nelle versioni Chrome 149 e Chrome 150 sono state corrette 1.072 vulnerabilità di sicurezza, un numero che da solo supera quello messo insieme dalle precedenti 23 release stabili del browser. Tra le scoperte più clamorose c’è una falla di elevata gravità che permetteva di aggirare la sandbox di Chrome e che se ne stava nascosta nel codice da oltre 13 anni.
L’aumento dei bug trovati ha portato con sé anche una crescita delle segnalazioni interne. Google racconta che già entro marzo 2026 il volume delle vulnerabilità rilevate aveva superato quello di tutto il 2025, tanto da rendere necessario automatizzare buona parte del lavoro di analisi. Per questo è nato un sistema fatto di più agenti specializzati, ognuno con un compito preciso. Alcuni producono diverse possibili modifiche al codice, altri le passano al vaglio verificandone qualità e aderenza agli standard di Chromium, mentre altri ancora si occupano di creare in automatico i test per controllare che le correzioni funzionino su tutte le piattaforme supportate.
Questi strumenti girano da soli ogni 24 ore all’interno dell’infrastruttura di integrazione continua dell’azienda. Solo nel mese di maggio sono riusciti a bloccare oltre 20 vulnerabilità, tra cui almeno una classificata come critica di livello S1+, prima ancora che il codice arrivasse alle versioni destinate agli utenti. Google tiene a precisare di aver progettato tutto con la massima attenzione, i modelli lavorano su macchine isolate, senza accesso a internet, e ogni richiesta di rete viene intercettata e filtrata con liste di autorizzazione rigidissime. In parallelo va avanti il lavoro sulla sicurezza della memoria, con una migrazione sempre più ampia verso linguaggi pensati proprio per questo, come Rust.
Aggiornamenti più rapidi e addio al riavvio
Trovare in fretta una falla è però solo metà del lavoro. Quando una correzione finisce nel codice sorgente di Chromium, chi ha cattive intenzioni può studiarla per capire quale problema è stato risolto e provare a colpire i computer che non hanno ancora installato l’aggiornamento. Questa finestra viene chiamata patch gap ed è uno dei punti su cui Google vuole intervenire. Per stringere i tempi l’azienda passerà dagli attuali aggiornamenti settimanali a due aggiornamenti di sicurezza a settimana.
Il vero scoglio però resta il comportamento delle persone. In tanti rimandano il riavvio del browser per non interrompere quello che stanno facendo, lasciando Chrome esposto anche quando l’aggiornamento è già stato scaricato. Ecco perché Google sta sviluppando una tecnologia di patching dinamico, capace di installare gli aggiornamenti critici senza chiedere di riavviare tutto. Il sistema sfrutta l’architettura multiprocesso di Chrome, sostituendo in background componenti come il processo Renderer o quello della GPU con versioni aggiornate, riducendo al minimo il fastidio.
È ancora roba in fase di sviluppo, ma l’azienda sta già lavorando a sistemi in grado di ripristinare la sessione in modo trasparente anche nei casi più complicati, salvando in locale una maggiore quantità di informazioni. Qualcosa di concreto intanto è già arrivato. Con Chrome 150 su macOS, per esempio, Google sfrutta il modo particolare in cui funzionano le app sul sistema Apple per riavviare il browser da solo quando c’è un aggiornamento disponibile e non ci sono finestre aperte. Così la patch viene completata senza intoppi, avvicinando Chrome a un futuro in cui gli aggiornamenti di sicurezza potranno installarsi in modo praticamente invisibile.
