- Chrome a corrigé 1 072 failles de sécurité dans les versions 149 et 150, soit plus que dans les 23 versions précédentes réunies.
- Un agent basé sur Gemini a découvert une vulnérabilité vieille de 13 ans qui permettait de lire des fichiers locaux.
- Google accélère le déploiement des mises à jour avec des correctifs deux fois par semaine et travaille sur une solution de correctifs dynamiques sans redémarrage.
- L'IA est intégrée tout au long du cycle : détection, classification, génération de correctifs et validation.
Le navigateur le plus utilisé au monde a franchi une étape importante en matière de sécurité. Google Chrome a corrigé 1 072 vulnérabilités dans ses deux dernières versions , un chiffre supérieur au nombre total de correctifs appliqués au cours des deux années précédentes. L'entreprise attribue cette avancée majeure à l'intégration massive de l'intelligence artificielle dans ses processus de détection et de réparation des vulnérabilités.
D'après les données publiées par l'équipe de sécurité de Chrome, les versions 149 et 150, sorties en juin 2026, intégraient davantage de correctifs que les 23 versions majeures précédentes réunies. L'utilisation de modèles de langage à grande échelle (LLM) a permis d'automatiser des tâches qui nécessitaient auparavant des semaines de travail manuel , de l'identification des bogues à la génération de correctifs potentiels.
Un agent d'IA découvre une faille cachée depuis 13 ans.
L'une des découvertes les plus marquantes de cette nouvelle approche a été la mise au jour d'une vulnérabilité critique restée indétectée pendant plus de dix ans. L'agent basé sur Gemini, créé début 2026, a découvert une faille de sécurité permettant de contourner le bac à sable, avec un score CVSS de 9,8 . Cette faille, enregistrée sous la référence CVE-2026-3545, permettait à un processus de rendu compromis de tromper le navigateur et d'accéder aux fichiers locaux de la machine.
Google explique que le système a été entraîné à partir de l'historique complet des vulnérabilités connues et du code source intégral de Chromium. L'agent analyse le code sur des machines isolées, sans accès à Internet , ce qui réduit le risque d'utilisation malveillante de l'IA elle-même. De plus, les développeurs peuvent ajouter des fichiers SECURITY.md pour aider le modèle à définir les limites de confiance de chaque composant.
Automatisation de bout en bout
L'intelligence artificielle ne se contente pas de détecter les failles, elle intervient également tout au long du cycle de vie des vulnérabilités. Le système filtre les signalements en double, reproduit le bogue, détermine sa gravité et attribue la tâche au développeur compétent . Google estime que ce processus permet d'économiser des centaines d'heures de travail par mois.
Lors de la phase de correction, un agent génère plusieurs propositions de correctifs, tandis qu'un autre les examine en les comparant au guide de style du projet Chromium. Les modèles génèrent déjà des correctifs potentiels pour la plupart des vulnérabilités et, rien qu'en mai, ils ont empêché la mise en production de plus de 20 failles, dont une vulnérabilité critique.
L'entreprise a également intégré ces outils à son système d'intégration continue, qui effectue des analyses de sécurité toutes les 24 heures à tous les niveaux de compilation. Cela permet la détection proactive des vulnérabilités avant même que le code ne soit déployé auprès des utilisateurs — une évolution radicale par rapport au modèle traditionnel qui consistait à attendre qu'un chercheur externe signale le problème.
Mises à jour plus rapides et correctifs dynamiques
Face à l'afflux de failles de sécurité découvertes, Google a été contraint de revoir son rythme de déploiement. Chrome, qui fonctionne déjà selon un cycle de mise à jour majeure de deux semaines et des mises à jour de sécurité hebdomadaires , teste actuellement des correctifs deux fois par semaine. Doug Turner, directeur de l'ingénierie de Chrome, a expliqué que cette décision est motivée par le grand nombre de correctifs disponibles.
Pour réduire le délai entre la publication d'un correctif et son installation, Google travaille sur le déploiement dynamique de correctifs. Cette technologie permettrait d'appliquer les mises à jour sans redémarrer le navigateur , une fonctionnalité déjà testée sur macOS avec des redémarrages automatiques lorsque le navigateur est exécuté en arrière-plan sans fenêtre ouverte.
L'avenir : moins d'erreurs structurelles avec Rust
Au-delà de la correction individuelle des bugs, Google vise à éliminer des catégories entières de vulnérabilités. L'entreprise réécrit certaines parties du code de Chrome en Rust, un langage de programmation plus sûr que C++ en matière de gestion de la mémoire. Des protections telles que MiraclePtr et MiracleObject sont également déployées pour neutraliser les bugs survenant après la mise en production.
Parisa Tabriz, vice-présidente de Chrome, a souligné que l'IA a bouleversé la donne en matière de défense comme d'attaque. « J'espère surtout que la sécurité sera renforcée, mais je ne tiens pas pour acquis que les progrès seront automatiques », a-t-elle déclaré à WIRED. La dirigeante a insisté sur l'importance pour l'ensemble du secteur d'adopter ces outils afin de ne pas prendre de retard.
L'équipe de sécurité estime que la hausse actuelle des découvertes de failles pourrait se calmer une fois que l'IA aura identifié les vulnérabilités les plus évidentes. En attendant, le rythme sans précédent des correctifs exige des utilisateurs qu'ils maintiennent leurs navigateurs à jour en permanence pour rester protégés.
L'alliance de l'intelligence artificielle, de l'automatisation et des modifications structurelles redéfinit la sécurité de Chrome. Avec plus de 1 800 correctifs déployés depuis le début de l'année, le navigateur renforce sa résistance aux attaques , même si la course pour conserver son avantage est permanente. Google s'est engagé dans un modèle où l'IA non seulement détecte les vulnérabilités, mais contribue également à les prévenir dès la conception du logiciel.
