Google accélère les correctifs de Chrome avec l’IA

Google affirme utiliser l’IA pour raccourcir le temps entre la découverte d’une vulnérabilité et le déploiement d’un correctif dans Chrome. Dans un billet de son blog sécurité, l’éditeur explique que ses outils analysent désormais le code, détectent certaines failles plus vite et aident à valider les remèdes. L’enjeu est simple : moins une faille reste ouverte, moins elle laisse de temps aux attaquants. Et ce n’est pas un détail quand un navigateur sert de porte d’entrée à une grande partie du trafic web.

L’IA sert maintenant à chercher, reproduire et corriger plus vite

Selon Google, les modèles interviennent à plusieurs étapes du cycle de sécurité. Ils examinent le code, repèrent des schémas proches de vulnérabilités déjà connues, proposent des correctifs et soutiennent les équipes dans la validation. Cette automatisation change la difficulté principale : pendant longtemps, il fallait surtout trouver les failles ; désormais, il faut aussi les confirmer, les corriger et les distribuer avant qu’elles ne soient exploitées.

Le résultat est déjà visible dans les versions Chrome 149 et 150, qui ont permis de corriger 1 072 failles de sécurité, selon BleepingComputer. Google estime que ce volume continuera d’augmenter à mesure que les outils d’analyse gagnent en efficacité. Le constat dépasse Chrome et concerne l’ensemble de l’industrie logicielle : quand les outils deviennent meilleurs pour détecter, ils rendent aussi le travail de sécurité plus volumineux. Oui, la machine trouve plus de bugs. Elle n’a pas non plus prévu de prendre des congés.

Le vrai sujet reste le délai avant installation

Pour Google, le risque le plus sensible n’est pas seulement la publication d’un correctif, mais la fenêtre qui sépare sa mise à disposition de son installation effective sur les postes. Les spécialistes parlent de patch gap, soit l’intervalle entre un patch publié et son déploiement réel chez l’utilisateur. Ce laps de temps est particulièrement critique pour Chromium, le projet open source qui sert de base à Chrome, mais aussi à Microsoft Edge, Brave, Opera et d’autres navigateurs.

Une fois un correctif publié, ses détails techniques deviennent vite accessibles aux chercheurs, puis aux attaquants. Pour réduire cette exposition, Google a accéléré le rythme de ses correctifs ces dernières années et vise désormais des versions majeures publiées toutes les deux semaines. L’éditeur travaille aussi à réduire le temps nécessaire pour mettre à jour les navigateurs en arrière-plan, sans intervention manuelle.

Des mises à jour plus discrètes, presque invisibles

Autre chantier : éviter que l’utilisateur ait à redémarrer Chrome pour activer une mise à jour. Dans les faits, beaucoup repoussent ce moment pendant des jours, parfois des semaines. Google expérimente donc du dynamic patching, un mécanisme qui applique certains correctifs sans interrompre la session. L’objectif affiché est de rendre les mises à jour presque invisibles.

L’éditeur teste déjà des redémarrages automatiques quand Chrome tourne en arrière-plan sans fenêtre ouverte. Cette fonction est limitée à macOS dans Chrome 150 à ce stade. À terme, Google veut maintenir le navigateur à jour en permanence, sans que l’utilisateur ait à y penser. Cela paraît anodin. En réalité, c’est souvent là que se joue la sécurité d’un parc logiciel : au moment où l’on clique sur “plus tard”.

Une course qui concerne aussi les attaquants

Cette stratégie dit quelque chose de plus large sur la cybersécurité actuelle. Les mêmes technologies IA qui accélèrent la détection des failles peuvent aussi aider des attaquants à automatiser la recherche de vulnérabilités ou à préparer des techniques d’exploitation plus sophistiquées. Dans ce contexte, Google considère que le rythme de correction n’est plus seulement une question d’efficacité interne, mais un impératif stratégique.

Le message est clair : plus l’IA aide à trouver les failles, plus il faut industrialiser leur traitement. Pour les éditeurs, le sujet n’est plus seulement de publier des patchs. Il faut aussi les faire arriver à temps chez les utilisateurs, dans un environnement où chaque jour de retard compte.