Software · 31 luglio 2026 · 3 min di lettura

L'IA travolge la sicurezza di Chrome: oltre mille bug corretti in un mese e patch due volte a settimana

In sintesi: Nel mese di giugno, i rilasci di Chrome 149 e 150 hanno introdotto la correzione di 1.072 vulnerabilità di sicurezza, superando il totale dei due anni precedenti. L'integrazione di modelli linguistici nella ricerca di bug ha accelerato la scoperta di falle a tal punto da costringere Google a sperimentare aggiornamenti due volte a settimana e nuove tecnologie di patch dinamica senza riavvio del browser.

di Team Mocchi's

L'esplosione dei bug trovati dagli algoritmi

Nel mese di giugno 2026, il team di sicurezza del browser Google Chrome ha raggiunto un traguardo senza precedenti: il rilascio delle versioni milestone 149 e 150 ha incluso la correzione di 1.072 vulnerabilità di sicurezza. Come rivelato da TechCrunch, questa cifra supera da sola il totale dei bug risolti nelle precedenti 23 versioni del browser distribuite nell'arco degli ultimi due anni, che si fermavano a 1.036 interventi complessivi.

Non si tratta di un incremento graduale, ma di un vero e proprio cambio di paradigma. Doug Turner, director of engineering di Chrome, ha spiegato come l'adozione dei modelli di intelligenza artificiale avanzata stia trasformando l'identificazione delle vulnerabilità in un'operazione industriale altamente automatizzata. La capacità di analizzare enormi quantità di codice a velocità straordinarie sta invertendo i rapporti di forza tra analisti di sicurezza e attaccanti malevoli, portando a galla falle nascoste che la revisione umana non era mai riuscita a intercettare.

Addestrare i modelli sul codice storico

Alla base di questa impennata di correzioni non c'è una semplice automazione del fuzz testing, pratica in uso da anni, ma l'integrazione di LLM sofisticati (come la famiglia Gemini) addestrati in modo specifico sull'intero patrimonio software di Chromium. Secondo quanto riportato da WIRED, il modello utilizzato da Google possiede una conoscenza enciclopedica di ogni singola vulnerabilità censita in passato (CVE) e di ogni riga di codice modificata nella storia del progetto.

Questa profonda consapevolezza del contesto storico permette all'IA di setacciare anche i componenti software legacy e meno frequentati dagli sviluppatori, individuando debolezze concettuali o errori di gestione della memoria rimasti latenti per anni. Tra i bug scovati durante questa campagna intensiva figura una vulnerabilità ad alta gravità presente nel codice del sandbox di Chrome da ben 13 anni, che avrebbe potuto consentire a un attaccante di bypassare le protezioni del browser per accedere ai file locali dell'utente.

La sfida del rilascio: patch bisettimanali e aggiornamenti dinamici

L'accelerazione nella scoperta dei bug trascina con sé un dilemma operativo cruciale: identificare le falle senza poter distribuire le relative patch a pari velocità significa esporre gli utenti al rischio che anche gli attaccanti utilizzino l'IA per trovare e sfruttare le medesime vulnerabilità (i cosiddetti exploit n-day). Per questo motivo, Google sta sperimentando un ritmo di aggiornamento senza precedenti, testando il rilascio di patch di sicurezza due volte a settimana rispetto alla frequenza mensile o bisettimanale adottata finora.

Aumentare la frequenza dei rilasci rischia tuttavia di generare la cosiddetta "fatica da aggiornamento" per gli utenti, penalizzando chi rinvia il riavvio dell'applicazione. Come dettagliato da Ars Technica, Mountain View sta sviluppando soluzioni per rendere l'installazione del tutto trasparente. Su macOS è stato introdotto il "zero window restart", che applica l'aggiornamento quando tutte le finestre del browser vengono chiuse, pur mantenendo l'app in background. Sul lungo termine, l'obiettivo più ambizioso riguarda il "dynamic patching", una tecnologia in grado di iniettare le correzioni di sicurezza direttamente nella memoria di lavoro dell'applicazione senza richiedere alcun riavvio.

Il punto di Mocchi's

L'esperienza di Google su Chrome anticipa una trasformazione che investirà l'intero ecosistema dello sviluppo software nei prossimi anni. La capacità dei modelli linguistici di individuare falle di sicurezza su codebase complesse non rimarrà una prerogativa dei colossi della tecnologia, ma diventerà uno strumento accessibile a chiunque gestisca codice proprietario o piattaforme SaaS.

Per le aziende italiane che sviluppano o integrano soluzioni software custom, emergono due indicazioni strategiche prioritarie. In primo luogo, l'adozione di agenti IA per l'analisi statica del codice e il fuzzing automatizzato deve diventare un passaggio standard già nelle pipeline di CI/CD, prevenendo l'accumulo di debito di sicurezza. In secondo luogo, occorre riprogettare l'architettura dei rilasci e della manutenzione per supportare hotfix rapidi e senza interruzioni del servizio: quando la finestra temporale tra la scoperta di una vulnerabilità e il suo exploit automatizzato si riduce a poche ore, la continuità operativa e la sicurezza del software dipendono dalla velocità con cui riusciamo a distribuire il codice protetto.

Tutti gli articoli del blog Mocchi's