Google et l'IA : 1 072 bugs de Chrome résolus en 60 jours

Avec un nombre impressionnant de 3,5 milliards d'utilisateurs actifs, Google a la responsabilité colossale de sécuriser son navigateur Chrome. Pour y parvenir, l'entreprise s'appuie sur un outil puissant, Gemini, qui utilise l'intelligence artificielle pour identifier rapidement les failles de sécurité avant qu'elles ne soient exploitées par des acteurs malveillants. Notamment, l'IA a réussi à découvrir une vulnérabilité dans Chrome qui était passée inaperçue pendant dix ans, un exploit que les développeurs humains avaient manqué à plusieurs reprises.

Les enjeux de la sécurité pour Chrome

Chrome, ainsi que son projet open-source Chromium, se classe parmi les projets open-source les plus complexes au monde. Avec une part de marché d'environ 73 %, Chrome est utilisé par 3,5 milliards de personnes, un chiffre qui dépasse de loin la population totale des États-Unis. Cette situation place les développeurs de Chrome face à une responsabilité immense : une seule faille non corrigée pourrait potentiellement affecter la sécurité de milliards d'utilisateurs. Google prend cette mission très au sérieux, comme en témoigne un récent article de blog de l'équipe de sécurité de Chrome, qui explique comment l'IA est utilisée pour améliorer la détection, la classification et la correction des vulnérabilités.

Une augmentation rapide des corrections

Google a introduit des "jalons", des mises à jour régulières qui se produisent environ une fois par mois. Le jalon 128, publié le 20 août 2024, a marqué le début d'une série de corrections de bugs. Initialement, chaque jalon permettait de corriger environ 50 bugs. Cependant, ce nombre a rapidement augmenté : le jalon M146 a vu 80 bugs corrigés, M147 en a traité 130, et M148 a permis de résoudre 350 bugs. Cette progression exponentielle a culminé avec les jalons M149 et M150, où 1 072 bugs ont été corrigés, dépassant le total des corrections des 23 jalons précédents combinés.

Les implications d'un tel rythme

La logistique derrière ces mises à jour est impressionnante. Google publie de nouvelles versions majeures chaque mois, ce qui implique un risque potentiel de perturbations mondiales si un bug sérieux venait à être introduit par inadvertance. Pour chaque bug traité, Google doit valider le problème, le corriger, effectuer des tests rigoureux pour s'assurer qu'il n'interfère pas avec les milliards de pages web et les nombreuses extensions Chrome, publier un correctif, et encourager les utilisateurs à mettre à jour leur navigateur.

L'intégration de l'IA dans le processus

Depuis 2023, Google a intégré des outils d'IA pour améliorer la couverture des tests de sécurité, en utilisant des entrées inattendues et aléatoires. En 2024, à l'époque du jalon M128, Google a commencé à utiliser des outils d'IA spécialisés pour l'analyse des vulnérabilités. En 2025, Google a collaboré avec DeepMind et Project Zero pour développer Big Sleep, un agent capable de détecter des bugs dans le moteur JavaScript V8 et la pile graphique. En 2026, Google a introduit un harness agentic basé sur Gemini, conçu pour identifier les vulnérabilités dans l'ensemble du code de Chrome. Ce processus est complexe, semblable à une partie d'échecs où l'IA anticipe des milliers de coups à l'avance.

Une course contre la montre

La rapidité est essentielle, car des milliards de personnes dépendent de ces correctifs. Google a mis en place un processus de tri en quatre étapes pour gérer efficacement les rapports de bugs :

• Étape 1 : Les agents d'IA filtrent les rapports incorrects, en double, ou ceux qui ne concernent pas réellement des vulnérabilités de sécurité dans Chrome.
• Étape 2 : Les agents d'IA reproduisent les bugs dans des environnements virtuels correspondant au navigateur et au système d'exploitation signalés.
• Étape 3 : Les agents enrichissent les rapports avec des métadonnées.
• Étape 4 : Les agents identifient le bon propriétaire humain pour enquêter sur le bug.

Google estime que ce processus permet d'économiser des centaines d'heures de développement chaque mois.

Un besoin pressant de mises à jour

Il existe un décalage entre la découverte des bugs par les attaquants et la publication des correctifs. Même lorsque Google est conscient d'un bug, il faut souvent des semaines pour que le correctif atteigne le canal stable de Chrome. Google vise à réduire ce délai à deux semaines pour les jalons majeurs et à publier des mises à jour de sécurité hebdomadaires. Face à l'accélération des attaques, Chrome envisage même de doubler la fréquence des mises à jour de sécurité chaque semaine.