Google ha recentemente utilizzato un framework agentico basato sull’intelligenza artificiale per identificare e riparare 1.072 vulnerabilità di sicurezza nel browser Chrome in un periodo di 60 giorni. Questo cambiamento rappresenta un passo significativo verso la sicurezza software automatizzata e su larga scala in una delle applicazioni più utilizzate al mondo.
La portata della sicurezza automatizzata
La sfida di proteggere Google Chrome è enorme, data la sua quota di mercato globale del 73% e 3,5 miliardi di utenti attivi. Storicamente, Google gestiva i rilasci di sicurezza in tappe mensili, risolvendo in genere da 40 a 50 vulnerabilità per ciclo. Tuttavia, la recente introduzione di un sistema di agenti basati sui Gemelli ha cambiato radicalmente questa traiettoria. Durante i traguardi 149 e 150, l'azienda ha affrontato con successo 1.072 vulnerabilità, un volume che supera il numero totale di difetti di sicurezza corretti durante i 23 traguardi precedenti messi insieme. Questo massiccio aumento della capacità di riparazione non è solo un miglioramento incrementale; significa una transizione dalla scoperta di bug incentrata sull’uomo a un approccio guidato dalle macchine ad alta velocità, essenziale per mantenere l’integrità di un’applicazione che funge da gateway principale verso Internet per oltre la metà della popolazione adulta mondiale.
Dal Fuzzing alla scoperta agentica
La strategia di sicurezza di Google si è evoluta in modo significativo negli ultimi tre anni. Mentre in precedenza l’azienda utilizzava l’intelligenza artificiale per il fuzzing, un metodo per testare il software con enormi quantità di input casuali, ora si è spostata verso sofisticati flussi di lavoro basati su agenti. Entro il 2025, la collaborazione tra il team di Chrome, Project Zero e DeepMind ha prodotto "Big Sleep", un'intelligenza artificiale appositamente progettata per il rilevamento delle vulnerabilità all'interno del motore JavaScript V8 e dello stack grafico. Entro il 2026, questo si trasformerà in un sistema completo di agenti basati su Gemini. A differenza del semplice pattern match, questo sistema simula scenari complessi e prevede potenziali fallimenti della sicurezza con migliaia di mosse in anticipo, proprio come un grande maestro che analizza una partita a scacchi. Questa capacità ha portato alla scoperta di una vulnerabilità di fuga sandbox di lunga data che era sfuggita al rilevamento umano e alle suite di test standard per oltre un decennio, illustrando la profonda profondità dell’attuale analisi dell’IA.
Semplificazione del processo di triage
Al di là della scoperta, Google ha rivisto le sue operazioni di triage interne per gestire l’enorme volume di potenziali problemi. L’azienda ha implementato una pipeline di intelligenza artificiale in quattro fasi progettata per eliminare gli oneri amministrativi per gli investigatori umani. Nella fase 1, l'intelligenza artificiale filtra il "rumore" come report duplicati o problemi non legati alla sicurezza. La fase 2 prevede che l'intelligenza artificiale ricrei i bug all'interno di ambienti virtuali specializzati, documentandoli con stack trace essenziali. La fase 3 prevede che il sistema arricchisca i report con metadati, creando essenzialmente un fascicolo completo del caso, prima della fase 4, in cui identifica l'esperto umano più appropriato per assumersi la responsabilità della risoluzione. Google stima che questo flusso di lavoro faccia risparmiare centinaia di ore di tempo agli sviluppatori al mese, consentendo agli ingegneri umani di concentrarsi su indagini complesse anziché su attività amministrative ripetitive.
Il flusso di lavoro di correzione multi-agente
Per mantenere il ritmo dello sviluppo del software moderno, Google ha implementato un sistema multi-agente specifico per il processo di patch. Una volta identificata una vulnerabilità, un "agente di correzione" propone varie patch candidate. Un "agente critico" secondario valuta quindi queste soluzioni, controllandone la qualità del codice, l'aderenza alle linee guida di stile e l'integrità funzionale. Questo processo rispecchia un tradizionale ciclo di revisione tra pari, ma opera a una velocità significativamente più elevata. Infine, un esercito di agenti che scrivono test costruisce ed esegue test di verifica su tutte le piattaforme supportate da Chrome. Eseguendo l'iterazione automatica di queste fasi, il sistema identifica e corregge potenziali conflitti o errori prima che uno sviluppatore umano possa rivedere il codice. Google afferma che questo processo integrato ha consentito di risparmiare settimane di lavoro da parte degli sviluppatori, trasformando la capacità dell’azienda di rispondere alle minacce alla sicurezza in tempo reale.
⚖ The Balanced View
Supporting view
Google segnala che la nuova pipeline di valutazione e correzione basata sull'intelligenza artificiale sta facendo risparmiare centinaia di ore di tempo agli sviluppatori al mese, consentendo al tempo stesso la rapida correzione di migliaia di bug.
Concerns & criticism
L’enorme velocità delle patch guidate dall’intelligenza artificiale crea rischi, in particolare la possibilità che l’intelligenza artificiale “allucini” una correzione distribuita a miliardi di utenti, o il timore che gli avversari utilizzino strumenti di intelligenza artificiale simili per scoprire e sfruttare come armi le vulnerabilità prima che vengano applicate le patch.
→What's next
Google deve affrontare la sfida continua di mantenere la stabilità del browser mentre si muove in un panorama di minacce in rapida evoluzione. L'azienda probabilmente continuerà a perfezionare il proprio sistema multi-agente per bilanciare la velocità delle patch con la necessità di garantire che ogni correzione venga accuratamente controllata rispetto a miliardi di interazioni web esistenti.