Google: KI-Tools beheben 1.072 Chrome-Fehler in nur zwei Releases

Google Alphabet Inc. ↘ 0.62% gab am Donnerstag bekannt, dass der Einsatz von künstlicher Intelligenz zu einem dramatischen Anstieg bei der Behebung von Chrome-Sicherheitslücken geführt hat. Die zwei neuesten Browser-Releases schlossen 1.072 Sicherheitslücken – mehr als die Gesamtzahl der Fehlerbehebungen aus den vorangegangenen 23 Releases zusammen.

KI-gestützte Fehlersuche im großen Stil

Das Chrome-Sicherheitsteam erläuterte seine KI-gestützte Umstellung in einem am Donnerstag veröffentlichten Blogbeitrag und Whitepaper. Darin wird beschrieben, wie Gemini-basierte Agenten und Tools, die gemeinsam mit Google DeepMind und Project Zero entwickelt wurden, nun die Entdeckung, Priorisierung und Behebung von Schwachstellen im Chrome-Quellcode automatisieren.techcrunch+1

«LLMs haben die Ökonomie der Cybersicherheit grundlegend verändert und die Schwachstellensuche in einen automatisierten Betrieb im industriellen Maßstab verwandelt», sagte Doug Turner, Director of Engineering bei Chrome, gegenüber TechCrunch. «Durch den Einsatz von Modellen wie Gemini beheben wir Schwachstellen präventiv, sind unseren Gegnern einen Schritt voraus und machen Chrome mit jedem Update sicherer.»techcrunch

Das System deckte eine hochkritische «Sandbox Escape»-Lücke auf, die über 13 Jahre im Chrome-Quellcode überdauert hatte. Multi-Agenten-Workflows generieren nun Lösungsvorschläge für die meisten Schwachstellen, wobei separate «Kritiker-Agenten» die Patches bewerten und «Test-Schreib-Agenten» plattformübergreifende Testsuiten erstellen. Allein im Mai verhinderten die Tools, dass über 20 Schwachstellen in die Produktion gelangten, darunter ein kritisches S1+-Problem.blog+1

Schnellere Patches, weniger Neustarts

Google erklärte, dass die Explosion bei der Fehlerentdeckung eine schnellere Bereitstellung erfordere. Das Unternehmen testet derzeit zwei Sicherheits-Releases pro Woche, statt wie bisher einen, um sogenannten «schnellen, KI-gestützten Angriffen» entgegenzuwirken. Chrome stellt ab September mit Version 153 zudem auf einen zweiwöchigen Zyklus für Haupt-Releases um.pcmag+1

Um die «Patch-Lücke» – das Zeitfenster zwischen der Veröffentlichung eines Fixes und dessen Verfügbarkeit für Nutzer – zu verkleinern, entwickelt Google ein «dynamisches Patching». Dabei sollen Hintergrundprozesse im laufenden Betrieb durch aktualisierte Binärdateien ersetzt werden, was einen vollständigen Browser-Neustart überflüssig macht. In Chrome 150 unter macOS startet der Browser bereits automatisch neu, wenn ein ausstehendes Update erkannt wird und keine Fenster geöffnet sind.blog+1

Chrome 151 erscheint mit 370 weiteren Fixes

Einen Tag vor der Veröffentlichung des Whitepapers lieferte Google Chrome 151 mit Patches für 370 Schwachstellen aus, darunter sieben als kritisch eingestufte – darunter «Use-after-free»-Fehler in Compositing, Views, Skia und Ozone. Der Trend geht über Google hinaus: Microsoft ↗ 15.51% behob im Juli-Patch-Tuesday rekordverdächtige 570 Sicherheitslücken und verwies ebenfalls auf KI-gestützte Entdeckungsmethoden.infosecurity-magazine+1

«Jeder gefundene und behobene Fehler ist ein Standbein weniger für einen Angreifer», schrieb Google. «Die KI-Ära hat die Bedrohungslandschaft für Softwaresicherheit zweifellos verschärft, aber durch die Kombination schneller Bereitstellungsmechanismen mit tiefgreifenden strukturellen Abwehrmaßnahmen stellen wir sicher, dass der Vorteil fest bei den Verteidigern bleibt.»blog