2013 से क्रोम के कोड में छिपी एक कमजोरी अभी एक मशीन द्वारा खोजी गई। गूगल का एआई-संचालित कमजोरी पता लगाने का प्रणाली, जो इसके जेमिनी मॉडल पर आधारित है, ने एक उच्च-गंभीर दोष, CVE-2026-3545 की पहचान की। यह दोष क्रोम के नेविगेशन कंपोनेंट के अंदर मौजूद है और इसे सैंडबॉक्स एस्केप के रूप में वर्गीकृत किया गया है, जिसका अर्थ है कि हमलावर इसका उपयोग ब्राउज़र की सुरक्षित अलगाव परत से बाहर निकलने और नीचे के ऑपरेटिंग सिस्टम तक पहुँचने के लिए कर सकता है। इसका CVSS स्कोर 10 में से 9.8 है।
एक 13 साल का मेहमान जिसे किसी ने आमंत्रित नहीं किया
दोष को Chrome संस्करण 145 में ठीक कर दिया गया था, जिसे मई 2026 के शुरुआत में जारी किया गया था, लेकिन इसका दुरुपयोग करने वाला कोड लगभग 2013 से वहीं पड़ा हुआ था। इसे खोजने वाला AI एजेंट एक ऐतिहासिक CVE डेटाबेस और Git कमिट इतिहास के संयोजन का उपयोग करता है ताकि यह विधिवत् रूप से ट्रेस कर सके कि कोड समय के साथ कैसे विकसित हुआ है, और इसका विश्लेषण सीमित मशीनों पर चलाता है जो निष्क्रिय कोड को अलग-थलग प्रोसेस करती हैं।
गूगल ने एआई प्रणाली को एक विकल्प के बजाय पूरक के रूप में प्रस्तुत करने का ध्यान रखा। टीम ने नोट किया कि 2026 में फजिंग, मानव शोधकर्ता और बाहरी रिपोर्ट्स सभी क्रोम की सुरक्षा स्थिति के लिए सक्रिय योगदानकर्ता बने रहे, जिसमें बाहरी सबमिशन इतने बढ़े कि क्रोम वल्नरेबिलिटी रिवॉर्ड प्रोग्राम में समायोजन की आवश्यकता पड़ी।
पैचिंग संख्याएँ लगभग विश्वास करने के लायक नहीं हैं
क्रोम संस्करण 149 और 150 ने मिलकर 1,072 सुरक्षा बग्स को ठीक किया। यह एकल जोड़ी के रिलीज़ ने पिछले 23 स्थिर क्रोम मील के संयुक्त कुल योग को पार कर दिया। 2026 के अंत तक, वर्ष के लिए कुल सुरक्षा ठीक किए गए 1,800 से अधिक हो गए, जिसमें क्रोम 151 ने अकेले ही 370 पैच जोड़े।
गूगल ने दो बार साप्ताहिक सुरक्षा रिलीज़ के लिए एक पायलट कार्यक्रम में भी कदम रखा है, जिससे एक वल्नरेबिलिटी को आंतरिक रूप से पैच करने और उस पैच के उपयोगकर्ताओं तक पहुंचने के बीच का समय संकुचित हो गया है। गूगल स्वचालित ट्रायेज और पैच जनरेशन की ओर काम कर रहा है, जिसका अर्थ है कि खोज से पैच तक की पाइपलाइन अंततः दिनों से घंटों में संकुचित हो सकती है।
इसका सुरक्षा परिदृश्य पर क्या प्रभाव है
CVE-2026-3545 की खोज के परिणामस्वरूप केवल Chrome के बाहर भी प्रभाव पड़ते हैं। गूगल के AI एजेंट द्वारा उपयोग की गई तकनीक, जो वर्तमान कोड को ऐतिहासिक CVE पैटर्न और Git इतिहास के साथ संबंधित करती है, लगभग किसी भी बड़े ओपन-सोर्स कोडबेस पर लागू होती है। लिनक्स कर्नेल, प्रमुख JavaScript रनटाइम, क्रिप्टोग्राफिक लाइब्रेरीज़ और Chrome के अलावा अन्य ब्राउज़र इंजन सभी ऐसे कोड को संचित करते हैं जिन्हें कभी इस प्रकार के पश्चदृष्टि AI विश्लेषण का सामना नहीं हुआ है।
क्रिप्टो इंफ्रास्ट्रक्चर के लिए विशेष रूप से, यह मायने रखता है। वॉलेट, नोड और डिसेंट्रलाइज्ड एप्लिकेशन ब्राउज़र के अंदर चलते हैं या अपने इंटरफेस लेयर के लिए ब्राउज़र सुरक्षा मॉडल पर निर्भर करते हैं। क्रोम में एक सैंडबॉक्स एस्केप वल्नरेबिलिटी ब्राउज़र एक्सटेंशन या वेब इंटरफेस के माध्यम से कार्यरत किसी भी चीज़ के लिए एक संभावित हमले का सतह है। 13 साल तक अनदेखी रही इस लेयर में CVSS 9.8 का बग ठीक वही प्रकार का है जिससे क्रिप्टो डेवलपर्स को ब्राउज़र-लेवल सुरक्षा मान्यताओं के बारे में सोचने की आवश्यकता होनी चाहिए।