Google: AI findet mehr Chrome-Bugs als in zwei Jahren zuvor zusammen

Googles Chrome Security Team hat einen detaillierten Bericht veröffentlicht, wie sie LLMs für die automatisierte Schwachstellen-Suche im Chrome-Codebase einsetzen. Das Ergebnis ist beeindruckend: In den letzten zwei Milestones (Chrome 149 und 150) wurden 1.072 Security-Bugs behoben — mehr als in den vorherigen 23 Milestones zusammen.

Der Beitrag beschreibt den gesamten Bug-Lifecycle mit AI-Unterstützung. Bei der Suche setzt Google seit 2023 LLMs ein, inzwischen in Kombination mit DeepMind und Project Zero (“Big Sleep” und “CodeMender”). Ein Agent-Harness nutzt Gemini, um Schwachstellen im gesamten Chrome-Code zu finden — inklusive einer Sandbox-Escape, die 13 Jahre unentdeckt blieb. Verbesserungen umfassen eine Knowledge Base aus allen bisherigen CVEs und der kompletten Git-History, einen “Critic”-Agent mit separatem Kontext und SECURITY.md-Dateien, die dem Modell Trust Boundaries erklären.

Beim Triage automatisiert ein vierstufiger Prozess Spam-Filterung, Reproduktion, Metadata-Anreicherung und automatische Zuweisung — was hunderte Stunden Entwicklerzeit pro Monat spart. Beim Fixing arbeiten Fixing-Agent und Critic-Agent in einer Schleife, die einem Code-Review-Prinzip folgt, plus ein Test-Writing-Agent für plattformübergreifende Tests. Die Ergebnisse fließen direkt in Googles CI-System, das alle 24 Stunden über alle Changes läuft und im Mai allein 20 Vulnerabilities blockierte.

Interessant ist auch die Delivery: Google pilotiert zwei Security-Releases pro Woche, um die “Patch Gap” zwischen Commit und User-Browser zu minimieren. Release Notes und CVE-Beschreibungen werden zunehmend automatisch generiert. Sicherheitsrelevant: Die AI läuft nur auf isolierten Maschinen ohne Internetzugang, mit strikten Allowlists und ohne Unrestricted-Mode.

Link: blog.google/security