Уразливість, прихована в коді Chrome з 2013 року, щойно була виявлена машиною. Система виявлення уразливостей Google, побудована на моделі Gemini, виявила серйозну вразливість, позначену як CVE-2026-3545. Цей баг знаходиться всередині компонента навігації Chrome і класифікується як вихід із пісочниці, що означає, що зловмисник може використати його для виходу за межі захисного ізоляційного шару браузера та отримати доступ до базової операційної системи. Його бал CVSS становить 9,8 із 10.
Гість на 13 років, якого ніхто не запрошував
Цей недолік було виправлено у версії Chrome 145, яка була випущена на початку травня 2026 року, але код, який він експлуатує, за повідомленнями, існував там з приблизно 2013 року. Агент ШІ, який його знайшов, використовує поєднання бази даних історичних CVE та історії комітів Git, щоб систематично відстежувати, як код змінювався з часом, проводячи свій аналіз на обмежених машинах, які обробляють неактивний код ізоляційно.
Google уважно підходила до формулювання AI-системи як доповнення, а не заміни. Команда зазначила, що фаззинг, людські дослідники та зовнішні звіти залишалися активними учасниками безпеки Chrome у 2026 році, причому кількість зовнішніх повідомлень зросла настільки, що вимагала коригувань Програми винагород за вразливості Chrome.
Числа виправлень майже неможливо вірити
Версії Chrome 149 і 150 разом виправили 1 072 безпекових помилок. Ця пара випусків перевищила загальну кількість виправлень за попередні 23 стабільних версій Chrome. До кінця липня 2026 року загальна кількість безпекових виправлень за рік перевищила 1 800, причому сама Chrome 151 додала ще 370 патчів до цієї кількості.
Google також перейшов на пілотну програму з двома випусками безпеки на тиждень, скорочуючи проміжок між усуненням вразливості внутрішньо та досягненням цього виправлення користувачами. Google працює над автоматизованим розподілом та генерацією виправлень, що означає, що процес від виявлення до виправлення може зменшитися з днів до годин.
Що це означає для ландшафту безпеки
Відкриття CVE-2026-3545 також має наслідки, що виходять за межі Chrome. Техніка, яку використав AI-агент Google — порівняння поточного коду з історичними шаблонами CVE та історією Git — застосовна до майже будь-якої великої відкритої кодової бази. Ядро Linux, основні JavaScript-середовища, криптографічні бібліотеки та рушії браузерів, крім Chrome, містять роками накопичений код, який ніколи не піддавався такому типу ретроспективного аналізу за допомогою ШІ.
Щодо криптоінфраструктури це має значення. Гаманці, ноди та децентралізовані додатки працюють у браузерах або залежать від моделей безпеки браузера для свого інтерфейсного шару. Уразливість виходу з пісочниці в Chrome — це потенційна поверхня атаки для будь-чого, що працює через розширення браузера або веб-інтерфейс. Помилка з CVSS 9.8, яка протягом 13 років залишалася непоміченою в цьому шарі, — саме той тип проблем, який повинен спонукати до перегляду того, як крипторозробники сприймають припущення щодо безпеки на рівні браузера.