- Chrome 在版本 149 和 150 中修复了 1.072 个安全漏洞，比之前 23 个版本修复的漏洞总数还要多。
- 基于 Gemini 的代理发现了一个存在了 13 年的漏洞，该漏洞允许读取本地文件。
- 谷歌正在加快更新速度，每周发布两次补丁，并致力于开发无需重启即可动态修补的系统补丁。
- 人工智能贯穿整个周期：检测、分类、图像块生成和验证。
全球最受欢迎的浏览器在安全性方面取得了重大突破。谷歌Chrome浏览器在其最新两个版本中修复了1.072个漏洞，这一数字超过了过去两年修复漏洞的总数。该公司将这一里程碑式的成就归功于人工智能在其漏洞检测和修复流程中的大规模应用。
根据 Chrome 安全团队公布的数据，2016 年 6 月发布的 149 和 150 版本包含的修复数量超过了此前 23 个主要版本修复数量的总和。大规模语言模型 (LLM) 的使用使得以往需要数周人工才能完成的任务得以自动化，这些任务包括识别漏洞和生成候选补丁。
人工智能代理发现了一个隐藏了13年的缺陷
这种新方法最引人注目的发现之一是发现了一个十多年来一直未被察觉的严重漏洞。基于 Gemini 的代理程序于 2026 年初创建，发现了一个沙箱逃逸漏洞，其 CVSS 评分为 9,8。该漏洞被注册为 CVE-2026-3545，它允许受感染的渲染进程诱骗浏览器读取本地计算机上的文件。
谷歌解释说，该系统使用了所有已知漏洞的历史记录和完整的 Chromium 源代码进行训练。该代理在无法访问互联网的隔离机器上分析代码，从而降低了人工智能本身被恶意利用的风险。此外，开发者还可以添加 SECURITY.md 文件，帮助模型识别每个组件的信任边界。
端到端自动化
人工智能不仅能发现漏洞，还能参与漏洞处理的整个生命周期。系统会过滤重复的报告，重现漏洞，判断其严重程度，并将任务分配给合适的开发人员。谷歌估计，这一流程每月可节省数百工时。
在修复阶段，一个代理会生成多个补丁方案，另一个代理则作为审核员，将这些方案与 Chromium 项目的规范指南进行比较。这些模型已经能够为大多数漏洞生成候选修复方案，仅在五月份，它们就阻止了 20 多个漏洞进入生产环境，其中包括一个严重漏洞。
该公司还将这些工具集成到其持续集成系统中，该系统每 24 小时对所有构建级别运行一次安全扫描。这使得在代码交付给用户之前就能主动检测漏洞——这与以往等待外部研究人员报告问题的传统模式截然不同。
更快的更新和动态补丁
大量漏洞的曝光迫使谷歌重新考虑其发布周期。Chrome浏览器目前采用两周一次的主要版本更新和每周一次的安全更新，并且每周测试两次补丁。Chrome工程总监道格·特纳解释说，做出这一决定是因为可用的修复程序数量庞大。
为了缩短补丁发布和安装之间的时间间隔，谷歌正在研发动态补丁技术。这项技术允许在无需重启浏览器的情况下应用更新，目前已在 macOS 上进行测试，当浏览器在后台运行且没有打开任何窗口时，会自动重启浏览器。
未来：Rust 能减少结构性错误
除了逐一修复漏洞之外，谷歌的目标是消除整个漏洞类别。该公司正在用 Rust 重写 Chrome 的部分代码，Rust 是一种在内存管理方面比 C++ 更安全的编程语言。此外，谷歌还部署了 MiraclePtr 和 MiracleObject 等保护机制来消除发布后可能出现的漏洞。
Chrome副总裁帕丽莎·塔布里兹指出，人工智能已经彻底改变了防御和攻击的格局。“我最大的愿望是一切都会更加安全，但我并不认为安全会自动提升，”她告诉《连线》杂志。这位高管强调，整个行业都必须采用这些工具，以免落后。
安全团队认为，一旦人工智能识别出最明显的漏洞，目前漏洞发现激增的势头可能会减弱。然而，在此期间，前所未有的漏洞修复速度要求用户不断更新浏览器以确保安全。
人工智能、自动化和结构性变革的结合正在重新定义Chrome浏览器的安全性。今年迄今为止，Chrome已发布了超过1.800个补丁，使其抵御攻击者的能力日益增强，但保持优势的竞争从未停止。谷歌致力于构建一种人工智能不仅能发现漏洞，还能在软件设计阶段就帮助预防漏洞的模式。
