Google stelt dat AI helpt Chrome om beveiligingsproblemen sneller te vinden én aan te pakken. In de twee meest recente Chrome-releases werden volgens het bedrijf samen 1.072 beveiligingsbugs gepatcht. Dat aantal ligt hoger dan het totaal dat in de eerdere 23 Chrome-mijlpalen bij elkaar werd opgelost.
De kern van die versnelling zit in een bredere inzet van grote taalmodellen (LLM’s) binnen het proces voor vulnerability management: van ontdekking tot het genereren van tests en mogelijke patches.
Van zoeken tot patch: AI in de hele kwetsbaarheidsketen
Waar securityteams vaak op één of twee punten ondersteuning zoeken door automatisering, zegt Google LLM’s nu in meerdere stappen te gebruiken. Volgens het bedrijf komen modellen niet alleen in beeld bij het analyseren van meldingen, maar ook bij het opstellen en verbeteren van de rapportage.
Google noemt daarbij onder andere:
- het ontdekken van potentiële kwetsbaarheden
- het reproduceren van bevindingen zodat een bug aantoonbaar wordt
- het bepalen van de ernst en het toewijzen van bugs aan ontwikkelaars
- het genereren van kandidaat-patches
- het maken van tests om de fix te verifiëren
Belangrijk detail: Google geeft aan dat deze multi-agent AI-workflows bestaande security testing helpen, in plaats van die volledig te vervangen. Fuzzing blijft volgens Google nog steeds effectief voor het blootleggen van complexe kwetsbaarheden.
AI-projecten achter de schermen: fuzzing, Naptime en Big Sleep
Google begon al eerder met het gebruik van AI in security-gerelateerde taken. In 2023 ging het om het verbeteren van security fuzzing. Later werkte Google samen met Project Zero en ontwikkelde het systeem Naptime, waarmee AI-modellen toegang kregen tot gespecialiseerde tools voor vulnerability research.
Daarna volgde samenwerking met onder meer Google DeepMind en Project Zero rond Big Sleep. Dat agent-systeem zou kwetsbaarheden hebben gevonden in delen van Chrome, waaronder de V8 JavaScript-engine en onderdelen van de graphics.
Begin 2026 bouwde Google bovendien een Gemini-powered agent die gericht is op het doorzoeken van een breder deel van de Chrome-codebase. Daarbij wil het systeem vooral ook false positives verminderen, zodat rapportages beter aansluiten bij wat teams daadwerkelijk kunnen doorgronden.
Voorbeeld: sandbox escape die jaren bleef liggen
Google noemt als illustratie een kwetsbaarheid die door één van de AI-systemen naar boven kwam. Het ging om een Chrome sandbox escape die al meer dan 13 jaar in de codebasis zou hebben gezeten.
Als een aanvaller die fout wist te misbruiken, zou een gecompromitteerde renderer uit de sandbox kunnen ontsnappen en het browserproces misleiden zodat de browser lokale bestanden zou kunnen lezen.
Hoewel dit soort details vaak pas volledig duidelijk worden nadat onderzoekers en engineers de bug bevestigen, onderstreept het voorbeeld het bredere punt: AI kan helpen bij het sneller vinden van kwetsbaarheden die niet vanzelf opvallen tijdens traditionele reviewcycli.
Snellere triage en rapportering: minder ruis, meer tempo
Google ziet ook een toename in meldingen via het Chrome Vulnerability Reward Program. In maart 2026 zouden er zelfs meer beveiligingsrapporten zijn binnengekomen dan gedurende heel 2025.
Om die stroom hanteerbaar te houden, zou Google het programma hebben aangepast. De focus ligt op meldingen die “aanvullen” op wat Google al via geautomatiseerde tooling vindt en verwerkt.
Daarnaast automatiseert Google delen van de triage, waaronder:
- filteren van spam en duplicates
- het reproduceren van proof-of-concept exploits
- het toekennen van severity-ratings
- het routeren van rapporten naar de juiste ontwikkelaars
Google schat dat deze aanpak maandelijks honderden uren ontwikkelaarswerk bespaart.
Meerdere patches, extra beoordeling en minder doorlooptijd
Als een kwetsbaarheid is bevestigd, zeggen de systemen meerdere mogelijke oplossingen te genereren. Vervolgens beoordeelt een andere agent de voorgestelde fixes en levert extra informatie voor ontwikkelaars, zodat die sneller kunnen beslissen wat het beste werkt.
Google meldt dat deze aanpak in mei naar verluidt meer dan 20 kwetsbaarheden heeft voorkomen van productie, inclusief een issue die als kritiek werd geclassificeerd.
Niet alleen vinden: patches moeten sneller bij gebruikers
Het bedrijf benadrukt dat sneller patchen niet alleen draait om betere detectie. Zodra een fix in de publieke broncode staat, kunnen aanvallers de wijziging inspecteren en mogelijk onderdelen reverse-engineeren voordat het beveiligingsupdate echt bij gebruikers is.
Om die “patch gap” te verkleinen, verschuift Google naar een tweewekelijkse major release-cyclus met wekelijkse security updates. Daarnaast wordt er volgens het bericht gepilots met twee security releases per week.
Google werkt bovendien aan dynamic patching: het idee dat Chrome updates kan toepassen zonder het volledige proces te hoeven herstarten. Vanaf Chrome 150 op macOS kan Chrome een pending update automatisch toepassen door het programma te herstarten wanneer de browser op de achtergrond draait zonder open vensters.
Op lange termijn wil Google Chrome continu up-to-date houden met dynamic patching, automatische restarts tijdens inactiviteit en verbeterde session restoration.
SECURITY.md en AI-gestuurde security drempels
Google moedigt ontwikkelaars aan om SECURITY.md-bestanden toe te voegen. Daarin kunnen teams beschrijven welke trust boundaries relevant zijn en hoe het dreigingsmodel eruitziet. Volgens Google helpt dat AI-systemen om beter te identificeren welke handelingen beveiligingsimplicaties hebben.
Dat past bij de gedachte dat AI niet alleen moet “zoeken”, maar ook beter moet begrijpen waar in de code en workflows het echt spannend wordt.
Conclusie: AI versnelt Chrome’s security, maar delivery blijft cruciaal
Met de aanpak die Google beschrijft, wordt AI helpt Chrome concreet: LLM’s ondersteunen het vinden, reproduceren, prioriteren en fixen van kwetsbaarheden, inclusief het genereren van tests en kandidaat-patches. Tegelijkertijd lijkt de grootste uitdaging verschuiving: het probleem is niet alleen hoe je bugs sneller vindt, maar hoe je de oplossing sneller en veiliger bij gebruikers krijgt.
Door releases te versnellen en te investeren in dynamic patching, probeert Google die tijd tussen “fix op papier” en “fix in de echte wereld” kleiner te maken.
