Ein Gemini-Agent entdeckt einen 13 Jahre alten Sandbox-Ausbruch im Quellcode von Chrome
Google gab am Donnerstag bekannt, dass seine KI-Tools dazu beigetragen haben, 1.072 Sicherheitslücken in den beiden im Juni veröffentlichten Chrome-Versionen zu beheben. Das sind mehr als in den 23 vorherigen Versionen des Browsers zusammen.
Eines dieser Tools entdeckte außerdem eine Sandbox-Schwachstelle, die über 13 Jahre lang im Code verborgen geblieben war.
Googles KI hat einen seit 2013 verborgenen Chrome-Sandbox-Fehler entdeckt
Die Zahl von 1.072 beinhaltet Chrome 149 und Chrome 150, die beide letzten Monat veröffentlicht wurden. Die 23 stabilen Versionen, die Google in den letzten zwei Jahren herausgegeben hat, enthielten insgesamt 1.036 Fehlerbehebungen.
„Große Sprachmodelle haben die Ökonomie der Cybersicherheit grundlegend verändert und die Schwachstellensuche in einen automatisierten, industriellen Prozess verwandelt“, sagte Doug Turner, Entwicklungsleiter bei Chrome. Modelle wie Gemini ermöglichen es dem Team, Schwachstellen präventiv zu beheben und Angreifern einen Schritt voraus zu sein.
Das Unternehmen erklärte , dass „eine Zunahme gefundener und behobener Fehler kein Zeichen für ein Scheitern ist“.
Anfang 2026 entwickelte Google ein Gemini-Agenten-System, um den gesamten Chrome-Quellcode zu durchsuchen. Dabei entdeckte das System eine Sicherheitslücke, die seit über 13 Jahren im Code vorhanden war. Laut Google könnte diese Schwachstelle, falls sie nicht behoben wird, einem kompromittierten Renderer-Prozess ermöglichen, den Browser dazu zu bringen, lokale Dateien zu lesen.
Google führt seit Jahren LLMs gegen seine eigenen Sicherheitsarbeiten durch, angefangen mit Fuzzing-Abdeckung im Jahr 2023 und dann den Naptime-Tools mit Project Zero im Jahr 2024. DeepMind und Project Zero kamen 2025 mit dem Big Sleep Discovery Agentden Markt und entdeckten Fehler in der V8 JavaScript-Engine und im Grafik-Stack.
Das 2026er-System umfasste interoperable Open-Weight- und proprietäre Modelle, eine Wissensdatenbank, die auf der Git-Historie von Chrome und früheren CVEs basierte, sowie einen „Kritiker“-Agenten, der von Entwicklern geschriebene SECURITY.md-Dateien scannt, um herauszufinden, wo sich Vertrauensgrenzen befinden.
Maschinen sichten und beheben jetzt Chrome-Fehler
Google trainiert zudem KI, eingehende Berichte zu prüfen, zu sortieren und zu beheben. Die Bearbeitung eines einzelnen Sicherheitsberichts erforderte früher fünf bis über 30 Minuten menschliche Aufmerksamkeit. Heute filtert eine Kombination aus Regeln und Modellen Spam und Duplikate heraus, reproduziert Fehler auf dem betroffenen Betriebssystem und der betroffenen Chrome-Version, fügt Metadaten wie Schweregrad und Zeitpunkt des Auftretens des Fehlers hinzu und leitet den Bericht an den zuständigen Verantwortlichen weiter.
Google schätzt, dass die Änderung monatlich Hunderte von Entwicklerstunden einspart.
Es verwendet einen Reparaturagenten, der mehrere Patch-Kandidaten vorschlägt, und einen zweiten Kritikagenten, der dentronKandidaten auswählt und diesen Vorgang – ähnlich einer Code-Review – so lange wiederholt, bis die Änderung kompiliert und den Chromium-Stilrichtlinien entspricht. Das System generiert außerdem Tests, bevor ein Entwickler die Änderung freigibt.
Die Modelle lesen den Quellcode auf abgesicherten Rechnern, die keinen allgemeinen Internetzugang haben, hinter einer zugelassenen Netzwerküberwachung laufen und nicht auf Dateien außerhalb der festgelegten Quellverzeichnisse zugreifen dürfen.
Google arbeitet daran, die sogenannte „Patch-Lücke“ zu verringern – die Zeitspanne zwischen dem Erscheinen eines Fixes im öffentlichen Quellcode und dessen tatsächlicher Installation durch die Nutzer. Angreifer haben dieses Zeitfenster, um einen Patch zu analysieren und eine Sicherheitslücke auszunutzen. Google testet derzeit zwei Sicherheitsupdates pro Woche und arbeitet an einem dynamischen Patching-System, das es ermöglicht, einzelne Teile von Chrome ohne vollständigen Neustart zu aktualisieren.
Der Anstieg veränderte auch Googles Bug-Bounty-Programm. Externe Meldungen nahmen so schnell zu, dass das Unternehmen bis März mehr Berichte als im gesamten Jahr 2025 zusammen verzeichnete. Dies veranlasste Google, das Chrome Vulnerability Reward Program zu überarbeiten, um Forscher auf Fehler aufmerksam zu machen, die mit den eigenen Tools weniger wahrscheinlich gefunden werden.
Längerfristig erweitert Google sein Speichersicherheitstool MiraclePtr, konvertiert neue Komponenten nach Rust und spendet 12,5 Millionen Dollar an das Open-Source-Sicherheitsprojekt Alpha-Omega.
Microsofts jüngster Patch-Dienstag, bei dem rekordverdächtige 570 Sicherheitslücken behoben wurden, enthielt auch eine Erwähnung von KI, aber Apple, mit einer unabhängigendent von 482 Korrekturen im Jahr 2026, befindet sich nicht auf dem gleichen Niveau.
Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Empfohlene Artikel
Kommentare (0)
Klicken Sie auf die $-Schaltfläche, geben Sie das Symbol ein und wählen Sie eine Aktie, einen ETF oder einen anderen Ticker zum Verlinken aus.