Google führt das erhöhte Tempo bei der Behebung von Chrome-Sicherheitslücken ausdrücklich auf KI zurück. Nach Angaben des Unternehmens begann der Anstieg der gefundenen Fehler im April und hielt bis in den Juli an. Die jüngste Browser-Version brachte 370 Sicherheitsfixes, womit die Gesamtzahl der in diesem Jahr geschlossenen Schwachstellen auf mehr als 1.800 stieg.
Besonders stark fiel der Sprung mit Chrome 149 und 150 aus. In diesen beiden Versionen beseitigte Google 1.072 Sicherheitsdefekte und übertraf damit nach eigenen Angaben die Gesamtzahl der Sicherheitsfehler, die über die vorangegangenen 23 Meilensteine zusammen behoben wurden. Grundlage dafür sei ein Agenten-System, das auf Gemini aufsetzt und die Suche nach Schwachstellen im gesamten Chrome-Codebestand effizienter machen soll.
Als entscheidenden Nachweis für die Wirksamkeit der KI-gestützten Analyse nennt Google die Entdeckung von CVE-2026-3545. Die Schwachstelle mit einem CVSS-Wert von 9,8 wurde Anfang Mai in Chrome 145 gepatcht und soll 13 Jahre lang unentdeckt im Browser gesteckt haben. Google beschreibt das Problem als unzureichende Datenvalidierung in Navigation. Über präparierte HTML-Seiten hätte die Lücke für einen Sandbox Escape missbraucht werden können; ein kompromittierter Renderer hätte den Browser dabei womöglich dazu verleitet, lokale Dateien zu lesen.
Die Chrome-Sicherheitsteams nutzen laut Google zwar schon seit 2023 große Sprachmodelle, doch erst das Anfang 2026 gebaute Agenten-System sei entscheidend dafür gewesen, mehr Schwachstellen zu finden und zu beheben. Es unterstützt die Zusammenarbeit verschiedener Modelle, wurde mit einer Wissensbasis aus bereits identifizierten CVEs und der gesamten Git-Historie von Chrome trainiert und greift auf von Entwicklern gepflegte SECURITY.md-Dateien zurück, die von einem „Kritiker“-Agenten ausgewertet werden. Zudem kann das System Modelle zur Schwachstellensuche mehrfach über den Code laufen lassen.
Google betont, die Architektur sei mit Schutzmechanismen versehen worden, um unerwartetes Verhalten der KI zu begrenzen. Die KI analysiere Quellcode ausschließlich im Ruhezustand auf abgeschotteten Maschinen ohne allgemeinen Internetzugang. Parallel setzt das Unternehmen KI auch für die Validierung von Fehlern, die Priorisierung und die Erstellung von Patches ein, nutzt aber weiterhin andere Testinfrastrukturen zur Fehlersuche und verweist auf Meldungen externer Forscher über das eigene VRP.
Nach Aussage des Unternehmens erzeugen LLMs inzwischen für die meisten Schwachstellen Kandidaten für Fehlerbehebungen, was die Zahl der Sicherheitsfixes in jüngsten Chrome-Versionen deutlich erhöht habe. Darüber hinaus soll KI neue Sicherheitsfehler möglichst schon beim Einreichen von Code erkennen und beseitigen sowie Probleme im Quellbaum neutralisieren, die ansonsten auch isoliert als sicher eingestuften Code beeinträchtigen könnten.
Um die Lücke zwischen Patch und Installation zu verkleinern, testet Google zusätzlich einen zwei Mal wöchentlichen Veröffentlichungsrhythmus für Chrome-Sicherheitsupdates. Dieser soll den bereits im März angekündigten Zwei-Wochen-Takt für größere Chrome-Versionen ergänzen. Außerdem arbeitet das Unternehmen daran, Release Notes und CVE-Beschreibungen aus Sicherheitsfixes automatisiert zu erzeugen, um manuelle Engpässe zu beseitigen und die Zeit zwischen Entdeckung und öffentlicher Offenlegung zu verkürzen.
Parallel treibt Google technische Änderungen voran, die ganze Fehlerklassen in Chrome zurückdrängen sollen. Dazu gehören die Ausweitung von MiraclePtr auf weitere Bibliotheken, der Einsatz von MiracleObject auf dem Hauptthread der GPU zur Neutralisierung von Use-after-free-Fehlern, Maßnahmen gegen Out-of-bounds-Schwachstellen sowie Schutzmechanismen bei Speicherzuweisungen gegen Integer-Überläufe. Langfristig will Google die Chrome-Codebasis stärker auf speichersichere Sprachen wie Rust umstellen, mit einem zentralen Rust-SDK, dem Ersatz fehleranfälliger Codeabschnitte und neuen modularen Komponenten in Rust. Zusätzlich prüft das Unternehmen laut eigener Aussage, die oberste Benutzeroberfläche des Browsers mit HTML, CSS und TypeScript umzusetzen, um Abhängigkeiten von klassischen C++-Frameworks weiter zu verringern.