ИИ Google нашёл и исправил в Chrome больше уязвимостей за два релиза, чем за два года

Google сообщает, что её инструменты на базе ИИ обнаружили и помогли исправить в браузере Chrome больше уязвимостей за два последних релиза, чем было найдено за предыдущие два года. Среди исправленных — баг, существовавший 13 лет. Параллельно компания тестирует ускоренный цикл обновлений и функцию «горячего» патчинга без перезагрузки браузера.

ИИ нашёл за пару недель больше дыр в безопасности Chrome, чем команда инженеров за два года. Это не повод для паники — это повод задуматься, как меняется подход к кибербезопасности.

Что произошло

Google сообщает о результатах пилотного проекта, в котором инструменты искусственного интеллекта используются для автоматизированного поиска уязвимостей в браузере Chrome. Итоги впечатляют: за два последних релиза безопасности ИИ помог выявить и исправить больше багов, чем было закрыто за предшествующие два года. Среди найденных проблем — уязвимость, которая оставалась незамеченной целых 13 лет.

Одновременно Google тестирует новый график обновлений безопасности — два релиза в неделю вместо привычного цикла. Плюс компания разрабатывает механизм установки патчей «на лету», без необходимости перезагружать браузер.

Почему это важно

Старая истина из мира кибербезопасности гласит: чем больше людей ищет — тем больше находят. ИИ в данном случае выступает как масштабируемый «искатель»: он способен анализировать код, выявлять аномальные паттерны и обнаруживать скрытые дефекты, на которые человеку потребовались бы недели или месяцы.

13-летний баг — это особенно показательный случай. Он жил в коде Chrome с 2012 года и каким-то образом избежал внимания и внутренних аудитов, и внешних исследователей безопасности, и программ Bug Bounty. Если ИИ смог его вычислить, это говорит о том, что инструменты машинного обучения действительно способны находить сложные, «глубоко зарытые» проблемы — те, что не поддаются стандартным методам анализа.

Два обновления безопасности в неделю — тоже существенное изменение. Традиционный цикл обновлений Chrome подразумевает стабильные релизы примерно раз в четыре недели, с экстренными патчами между ними. Переход на двухразовый «ритм» безопасности означает, что критические уязвимости будут закрываться быстрее, а пользователи меньше времени будут уязвимы.

Что известно и чего не известно

При оценке этих заявлений стоит учитывать несколько моментов.

Что известно:

• Google активно инвестирует в применение ИИ для внутренних процессов разработки. Проекты вроде Big Sleep (совместная работа с DeepMind) и собственные LLM-инструменты компании подтверждают это направление.
• Компания уже публично рассказывала о случаях, когда ИИ помогал находить уязвимости в стороннем коде, включая библиотеки и открытые проекты.
• Идея «горячих» обновлений без перезагрузки не нова — в Windows и мобильных ОС подобные механизмы давно работают. В контексте браузера это логичный шаг.

Что неизвестно:

• Точные цифры: сколько конкретно уязвимостей было найдено ИИ, какова их критичность, были ли среди них zero-day уязвимости, активно эксплуатируемые в природе. Из формулировки «больше, чем за два года» нельзя сделать однозначных выводов — возможно, за эти два года объём кода Chrome существенно вырос.
• Какова роль ИИ в процессе: он полностью автономно находит и исправляет баги, или лишь подсвечивает подозрительные участки кода для ревью инженерами? Разница принципиальна.
• Насколько масштабирован этот подход — применим ли он только к Chrome или распространится на весь стек Google (Android, Chromium-движок, серверное ПО).

Контекст: гонка вооружений

Google — не единственная компания, которая применяет ИИ для поиска уязвимостей. Microsoft использует Copilot для анализа кода, Amazon применяет ML для мониторинга инфраструктуры, а стартапы вроде Semgrep и Snyk давно строят бизнес на автоматизированном поиске багов.

Но уประกา Google есть важное отличие: масштаб. Chrome — это браузер с долей рынка около 65% во всём мире. Любая уязвимость в нём потенциально затрагивает миллиарды пользователей. Если ИИ позволяет находить и закрывать дыры быстрее — это напрямую повышает безопасность огромного числа людей.

Параллельно идёт обратный процесс: злоумышленники тоже используют ИИ для поиска уязвимостей и написания эксплойтов. Это гонка, и скорость имеет значение. Ускорение цикла патчинга — ответ на эту гонку.

Практические последствия

Для обычного пользователя Chrome эти новости означают следующее:

• Браузер станет безопаснее, причём быстрее. Если Google действительно переходит на два обновления безопасности в неделю, критические дыры будут закрываться раньше, чем успеют массово эксплуатироваться.
• Перезагрузки браузера станут реже. Обновления без перезапуска — это удобство. Особенно для тех, кто держит десятки вкладок открытыми и откладывает обновление «на потом».
• Нужно убедиться, что обновления включены. Автообновление Chrome включено по умолчанию, но его можно отключить. Учитывая ускорение цикла, лучше не трогать эту настройку.

Для индустрии в целом сигнал более широкий: ИИ перестаёт быть только хайпом и генератором текстов. Он становится рабочим инструментом в критически важных процессах — в данном случае, в обеспечении безопасности программного обеспечения.

Итог

Google демонстрирует, что ИИ в руках крупной компании с доступом к огромному коду и инфраструктуре — это не игрушка, а инструмент с реальной отдачей. Находка 13-летнего бага — наглядный пример того, что автоматизация способна выявить проблемы, ускользнувшие от человека. Ускорение цикла обновлений и переход на «горячий» патчинг — логичное продолжение: если находишь больше, нужно и чинить быстрее.

Ключевой вопрос, на который пока нет ответа: насколько прозрачен и контролируем процесс. Если ИИ-система работает как «чёрный ящик» и просто выдаёт готовые патчи, это создаёт новые риски. Если она лишь ускоряет работу инженеров, выступая мощным анализатором — это более безопасная и устойчивая модель.

В любом случае, для пользователей Chrome это хорошие новости. Браузер, которым пользуется два с лишним миллиарда человек, должен обновляться быстро. И теперь он, похоже, будет.