Google виправила понад 1000 багів Chrome за місяць за допомогою ШІ

Масштабне усунення вразливостей за допомогою штучного інтелекту

Штучний інтелект продовжує трансформувати внутрішні технологічні процеси великих корпорацій. У червні 2026 року компанія Google зафіксувала рекордний показник усунення проблем із безпекою в своєму браузері Chrome. Протягом випуску двох версій, Chrome 149 та Chrome 150, фахівці разом із спеціалізованими алгоритмами виправили 1072 вразливості різного рівня ризику. Цей обсяг перевищив загальну кількість закритих прогалин за попередні два роки сукупно.

Основною причиною такого результату стало активне розгортання та масштабування автоматизованих агентів безпеки, включно з інструментом Big Sleep, а також глибша інтеграція моделей сімейства Gemini у системи статичного та динамічного аналізу коду. Замість традиційного ручного пошуку помилок та написання патчів інженери передали частину рутинної роботи автоматизованим алгоритмам, які здатності аналізувати вихідний код у режимі реального часу.

Як працюють ШІ-агенти Big Sleep та Gemini під час аналізу коду

Проєкт Big Sleep, який Google розробляє у співпраці з підрозділом DeepMind починаючи з літа 2024 року, спеціалізується на виявленні помилок у кодовій базі C та C++. Саме ці мови програмування є основою рушія Chromium і традиційно вважаються найбільш схильними до проблем із управлінням пам’яттю, такими як вийти за межі буфера або використання пам’яті після її звільнення.

Автоматизований процес складається з кількох послідовних етапів. На першому етапі ШІ-агент проводить моніторинг змін у репозиторіях і сканує код на наявність потенційно небезпечних конструкцій. На відміну від класичних фаззинг-тестів, які випадково генерують вхідні дані для спроби збою системи, ШІ аналізує семантику коду та логіку роботи функцій. Після знаходження помилки алгоритм створює робочий концепт атаки для підтвердження наявності проблеми і формує варіант виправити ситуацію.

• Сканування вихідного коду на етапі створення пулл-реквестів
• Семантичний аналіз потенційних проблем із безпекою пам’яті
• Автоматична генерація тестових сценаріїв для відтворення помилки
• Формування виправлення коду та передача його на перевірку інженерам

Перехід на прискорений двотижневий цикл релізів

Збільшення швидкості виявлення та закриття прогалин змушує розробників змінювати підхід до розповсюдження оновлень. Тривалий час стандартний цикл виходу стабільних версій Chrome становив чотири тижні, із проміжними тижневими оновленнями безпеки. Проте в умовах масового виявлення помилок така модель втрачає ефективність.

Компанія планує перевести оновлення браузера на новий графік із двотижневим інтервалом між основними релізами. Додатково розробляється механізм динамічного безперервного виправлення коду, який дозволить закривати критичні вразливості без необхідності перезавантаження браузера або повного перевстановлення програмних компонентів користувачем.

Статистика виправлення багів за червень 2026 року

Гонка озброєнь у сфері кібербезпеки та автоматизація атак

Активне застосування штучного інтелекту розробниками є вимушеною відповіддю на аналогічні кроки з боку дослідників безпеки та зловмисників. Інструменти на базі генеративних моделей роблять процес пошуку zero-day вразливостей доступнішим, що збільшує ризик швидкого створення експлойтів після виходу чергових оновлень.

Автоматичне виправлення коду дозволяє зменшити часовий проміжок, протягом якого система залишається вразливою. Якщо раніше від моменту виявлення проблеми до релізу патчу минали тижні, то використання ШІ зменшує цей термін до кількох годин. Це знижує ймовірність успішного застосування атак типу n-day, коли хакери аналізують патчі для зламу оновлених версій програм.

Технічні виклики та ризики повністю автоматизованого патчингу

Попри вражаючі цифри, автоматизація процесу внесення змін у вихідний код має свої ризики. Основна проблема полягає у можливій появі нових регресій, коли виправлення однієї помилки призводить до порушення роботи інших функцій або зниження продуктивності браузера.

1. Виникнення побічних ефектів у коді через відсутність повного контексту у ШІ
2. Ризик помилкових спрацьовувань та внесення непотрібних змін
3. Необхідність збереження контролю з боку людських фахівців для відповідальних ділянок коду
4. Зростання навантаження на інфраструктуру автоматизованого тестування

Наразі Google зберігає гібридний підхід. Усі згенеровані штучним інтелектом патчі проходять обов’язкову перевірку автоматичними тестами та затверджуються профільними інженерами перед включенням до основної гілки репозиторію. Проте відсоток коду, написаного або відкоригованого алгоритмами, постійно зростає.

Вплив нової стратегії на користувачів та веб-розробників

Для пересічних користувачів підвищення частоти виправлень означає вищий рівень захисту особистих даних та фінансової інформації під час використання веб-сайтів. Автоматичне закриття вразливостей зменшує необхідність стежити за останніми новинами безпеки чи вручну перевіряти наявність оновлень.

Для веб-розробників та творців розширень прискорений цикл оновлень створює додаткові вимоги до сумісності. Прискорення релізів вимагає гнучкішого тестування веб-додатків, аби переконатися, що зміни в безпекових політиках Chromium не впливають на коректність відображення сайтів чи роботу скриптів.

Майбутнє системи захисту програмного забезпечення

Досвід Google у масштабуванні ШІ для захисту Chrome демонструє напрямок розвитку всього ринку програмного забезпечення. Автоматизований аналіз коду стає обов’язковим стандартом для великих проєктів, де обсяг кодової бази унеможливлює суто людський контроль.

У перспективі найближчих років подібні інструменти стануть доступні й для менших компаній через хмарні сервіси розробки. Це дозволить суттєво підвищити загальний рівень безпеки цифрових продуктів і змінити підхід до створення та підтримки програмного забезпечення на всіх етапах його життєвого циклу.