- Chrome hat in den Versionen 149 und 150 insgesamt 1.072 Sicherheitslücken behoben, mehr als in den 23 vorherigen Versionen zusammen.
- Ein auf Gemini basierender Agent entdeckte eine 13 Jahre alte Sicherheitslücke, die das Auslesen lokaler Dateien ermöglichte.
- Google beschleunigt die Aktualisierungen mit Patches zweimal wöchentlich und arbeitet an dynamischen Patches ohne Neustart.
- KI ist im gesamten Zyklus integriert: Erkennung, Klassifizierung, Patch-Generierung und Validierung.
Der weltweit beliebteste Browser hat einen bedeutenden Sicherheitssprung gemacht. Google Chrome hat in seinen beiden neuesten Versionen 1.072 Sicherheitslücken geschlossen – mehr als in den beiden Vorjahren insgesamt. Das Unternehmen führt diesen Erfolg auf die umfassende Integration künstlicher Intelligenz in die Prozesse zur Erkennung und Behebung von Sicherheitslücken zurück.
Laut Angaben des Chrome-Sicherheitsteams enthielten die im Juni 2026 veröffentlichten Versionen 149 und 150 mehr Fehlerbehebungen als die 23 vorherigen Hauptversionen zusammen. Der Einsatz von groß angelegten Sprachmodellen (LLM) ermöglichte die Automatisierung von Aufgaben, die zuvor wochenlange manuelle Arbeit erforderten – von der Fehleridentifizierung bis zur Generierung von Patch-Kandidaten.
Ein KI-Agent entdeckt einen 13 Jahre lang verborgenen Fehler
Eine der bemerkenswertesten Erkenntnisse dieses neuen Ansatzes war die Entdeckung einer kritischen Sicherheitslücke, die über ein Jahrzehnt unentdeckt geblieben war. Der Anfang 2026 entwickelte, auf Gemini basierende Agent fand eine Sandbox-Schwachstelle mit einem CVSS-Wert von 9,8 . Diese als CVE-2026-3545 registrierte Sicherheitslücke ermöglichte es einem manipulierten Rendering-Prozess, den Browser dazu zu bringen, lokale Dateien auf dem Rechner zu lesen.
Google erklärt, dass das System anhand aller bekannten Sicherheitslücken und des vollständigen Chromium-Quellcodes trainiert wurde. Der Agent analysiert den Code auf isolierten Rechnern ohne Internetzugang , wodurch das Risiko eines Missbrauchs der KI selbst minimiert wird. Zusätzlich können Entwickler SECURITY.md-Dateien hinzufügen, um dem Modell die Festlegung der Vertrauensgrenzen für jede Komponente zu erleichtern.
End-to-End-Automatisierung
Künstliche Intelligenz findet nicht nur Schwachstellen, sondern ist am gesamten Lebenszyklus der Sicherheitslückenbehebung beteiligt. Das System filtert doppelte Meldungen, reproduziert den Fehler, bestimmt dessen Schweregrad und weist die Aufgabe dem zuständigen Entwickler zu . Google schätzt, dass dieser Prozess monatlich Hunderte von Arbeitsstunden einspart.
In der Behebungsphase generiert ein Agent mehrere Patch-Vorschläge, während ein anderer als Reviewer fungiert und die Lösungen mit dem Styleguide des Chromium-Projekts vergleicht. Die Modelle generieren bereits Lösungsvorschläge für die meisten Schwachstellen und haben allein im Mai verhindert, dass über 20 Fehler, darunter eine kritische Schwachstelle, in die Produktion gelangten.
Das Unternehmen hat diese Tools auch in sein Continuous-Integration-System integriert, das alle 24 Stunden Sicherheitsüberprüfungen auf allen Build-Ebenen durchführt. Dies ermöglicht die proaktive Erkennung von Schwachstellen, bevor der Code die Nutzer erreicht – ein radikaler Wandel gegenüber dem traditionellen Modell, bei dem man auf die Meldung eines externen Forschers wartete.
Schnellere Updates und dynamisches Patching
Die Flut entdeckter Sicherheitslücken hat Google gezwungen, seinen Veröffentlichungszyklus zu überdenken. Chrome veröffentlicht bereits alle zwei Wochen ein neues Hauptupdate und wöchentliche Sicherheitsupdates und testet derzeit zweimal wöchentlich Patches. Doug Turner, Entwicklungsleiter von Chrome, erklärte, die Entscheidung sei aufgrund der großen Anzahl verfügbarer Korrekturen notwendig.
Um die Zeitspanne zwischen Patch-Veröffentlichung und Installation zu verkürzen, arbeitet Google an dynamischem Patching. Diese Technologie ermöglicht die Installation von Updates ohne Neustart des Browsers . Unter macOS wird dies bereits getestet, wobei der Browser automatisch neu startet, wenn er im Hintergrund läuft und keine Fenster geöffnet sind.
Die Zukunft: weniger Strukturfehler mit Rust
Neben der Behebung einzelner Fehler strebt Google die Beseitigung ganzer Kategorien von Sicherheitslücken an. Das Unternehmen schreibt Teile des Chrome-Codes in Rust neu, einer Programmiersprache, die im Hinblick auf die Speicherverwaltung sicherer ist als C++. Schutzmechanismen wie MiraclePtr und MiracleObject werden ebenfalls eingesetzt, um Fehler nach der Veröffentlichung zu neutralisieren.
Parisa Tabriz, Vizepräsidentin von Chrome, betonte, dass KI sowohl die Verteidigung als auch den Angriff grundlegend verändert habe. „Ich hoffe sehr, dass alles sicherer wird, aber ich gehe nicht davon aus, dass sich die Sicherheit automatisch verbessert “, sagte sie gegenüber WIRED. Die Managerin hob hervor, wie wichtig es sei, dass die gesamte Branche diese Tools einsetzt, um nicht ins Hintertreffen zu geraten.
Das Sicherheitsteam geht davon aus, dass die aktuelle Flut an Sicherheitslücken nachlassen wird, sobald die KI die offensichtlichsten Schwachstellen identifiziert hat. Bis dahin müssen Nutzer ihre Browser jedoch aufgrund des beispiellosen Tempos der Sicherheitsupdates ständig aktualisieren, um geschützt zu bleiben.
Die Kombination aus künstlicher Intelligenz, Automatisierung und strukturellen Änderungen definiert die Sicherheit in Chrome neu. Mit über 1.800 Patches in diesem Jahr wird der Browser immer widerstandsfähiger gegen Angreifer , doch der Wettlauf um den Erhalt dieses Vorsprungs geht weiter. Google setzt auf ein Modell, in dem KI nicht nur Schwachstellen aufspürt, sondern auch dazu beiträgt, diese bereits in der Softwareentwicklungsphase zu verhindern.
