Google перестраивает защиту Chrome из-за лавины обнаруженных уязвимостей

Google столкнулась с неожиданным последствием внедрения искусственного интеллекта в кибербезопасность. ИИ настолько ускорил поиск программных ошибок, что компании приходится перестраивать систему их устранения. 20 октября Google выпустила Chrome 156 сразу с 353 исправлениями, включая шесть критических. Но обнаружить и устранить уязвимость теперь недостаточно. Нужно еще успеть защитить пользователей, прежде чем ошибкой воспользуются злоумышленники.

Масштаб происходящего впечатляет. Уже к марту 2026 года Google получила больше сообщений об уязвимостях, чем за весь предыдущий год. Поток находок растет настолько быстро, что привычные масштабы обновлений Chrome остались далеко позади.

1072 уязвимости исправлены всего в двух релизах Chrome 149 и 150. Это больше, чем за предыдущие 23 основных обновления браузера вместе взятые.

И дело совсем не обязательно в том, что Chrome стал менее безопасным. Просто ИИ научился находить ошибки, которые годами оставались незамеченными. Например, созданная Google система агентов на базе Gemini обнаружила уязвимость возрастом более 13 лет. Она позволяла при определенных условиях обойти ограничения браузерной песочницы и получить доступ к локальным файлам. Все эти годы Chrome проходил проверки безопасности, получал обновления и новые защитные механизмы. Но ошибка оставалась в коде.

Причем уязвимости теперь находят не только специалисты Google. В октябрьском перечне исправлений Chrome фигурируют OpenAI Codex Security и исследователь Anthropic, использовавший Claude. Среди обнаруженных ими проблем есть критические ошибки в WebRTC и Accessibility, потенциально позволяющие выполнять вредоносный код внутри изолированной среды браузера.

Большинство октябрьских исправлений связано с ошибками работы с памятью. Это давняя проблема Chromium, значительная часть которого написана на C++. Google постепенно внедряет Rust, позволяющий предотвращать целые классы подобных уязвимостей, но быстро переписать огромный браузер невозможно.

Главная проблема по-прежнему кроется в работе с памятью. Как отмечает SecurityWeek, среди обнаруженных ошибок есть обращения к уже освобожденным объектам и выход за границы выделенных областей памяти. Значительная часть Chromium написана на C++, поэтому Google постепенно внедряет более безопасный Rust. Однако заменить существующий код быстро не получится.

86% исправлений в октябрьском обновлении Chrome связаны с ошибками работы с памятью. Это 305 из 353 устраненных уязвимостей.

Тем временем поток сообщений об ошибках продолжает расти. Раньше первоначальная проверка одного сообщения занимала у специалистов Google от пяти до тридцати минут. При тысячах находок это сотни часов работы только на то, чтобы разобраться, какие из них действительно опасны. Теперь ИИ помогает воспроизводить ошибки, оценивать угрозы и готовить исправления. По словам Google, языковые модели уже предлагают варианты исправлений для большинства обнаруженных уязвимостей.

Казалось бы все отлично, проблема решается. Машины находят ошибки, они же помогают их исправлять, разработчикам остается лишь проверить результат. Но не так все сказочно.

Исправить уязвимость в коде еще не значит защитить пользователей. Между появлением исправления и выпуском обновления Chrome могут пройти недели. А после выхода новой версии ее еще нужно установить. Одни пользователи откладывают перезапуск браузера, другие вообще игнорируют обновления. В результате ошибка уже исправлена, но миллионы компьютеров могут продолжать работать с уязвимой версией.

Ситуацию осложняет открытый исходный код Chromium. Злоумышленники могут сравнить исправленную версию с предыдущей, выяснить, какую именно ошибку устранили разработчики, и создать эксплойт. Возникает так называемый patch gap. Исправление уже доступно для изучения, но еще не дошло до пользователей. И пока одни устанавливают обновление, другие рискуют стать жертвами атаки на давно устраненную уязвимость.

Чтобы сократить этот опасный промежуток, Google ускоряет выпуск обновлений. Основные версии Chrome теперь будут выходить раз в две недели, исправления безопасности еженедельно, а в перспективе их планируют выпускать дважды в неделю.

Но даже самые частые обновления бесполезны, если их не устанавливать. Chrome загружает их автоматически, однако для применения обычно требуется перезапуск браузера. Пользователи не спешат закрывать десятки вкладок и прерывать работу, поэтому исправленные уязвимости могут еще долго оставаться на их компьютерах.

Читайте также

Почему ИТ-проекты встают на документах. Взгляд подрядчика

Формально законченный проект и принятый проект — разные вещи. Первая мысль, когда приемка встает – «что-то не так с кодом». Не прошли нагрузочные испытания, всплыли дефекты, не сошлись данные после миграции и прочие технические эксцессы.

В итоге Google может потратить считаные дни на поиск и исправление сложной уязвимости, но защита так и не заработает, пока пользователь не перезапустит браузер. И никакой искусственный интеллект пока не способен заставить его это сделать.

Поэтому Google разрабатывает механизм обновления Chrome без перезапуска. Браузер сможет постепенно заменять работающие процессы исправленными версиями, не прерывая работу пользователя. Пока технология находится в разработке.

Одновременно Google старается находить ошибки еще до того, как они попадут в Chrome. ИИ проверяет изменения в коде Chromium и только за май 2026 года, по данным компании, помог предотвратить более 20 уязвимостей, включая одну критическую.

Но чем быстрее Google выпускает обновления, тем сложнее приходится корпоративным ИТ-службам. Каждую новую версию нужно проверить на совместимость с рабочими приложениями, а времени на это остается все меньше. И откладывать обновления рискованно. Пока компания проводит тестирование, злоумышленники уже могут изучать исправленные ошибки и искать способы их эксплуатации.

Для российских компаний задержки с обновлениями тоже остаются серьезной проблемой. Как ранее рассказывал IT-World, по данным Solar 4RAYS, в первом полугодии 2026 года уязвимости веб-приложений использовались в 58% расследованных сложных атак против 46% годом ранее. Среди факторов риска эксперты отмечали несвоевременную установку обновлений, распространение самописного ПО и применение ИИ для поиска уязвимостей.

При этом ИИ все активнее используют не только разработчики, но и злоумышленники. С его помощью можно анализировать исходный код, находить слабые места и разбирать опубликованные исправления. Пока нет оснований утверждать, что атакующие научились находить и использовать уязвимости Chrome быстрее самой Google. Но технологии, которые помогают защищать браузер, могут с тем же успехом использоваться для его взлома.