Gugl je saopštio da je u junu, zahvaljujući alatima zasnovanim na veštačkoj inteligenciji, ispravio više bezbednosnih propusta u pregledaču Chrome nego u prethodne dve godine zajedno. Kompanija navodi da je u dva juniska izdanja, Chrome 149 i Chrome 150, zakrpljeno 1.072 ranjivosti, dok je u prethodnih 23 velika izdanja, objavljivanih tokom oko dve godine, ukupno ispravljeno 1.036 propusta.
Prema navodima kompanije, iza skoka stoji sistem AI agenata izgrađen na modelu Gemini, koji od početka 2026. godine kontinuirano skenira ceo izvorni kod Chromea u potrazi za ranjivostima. Sistem, kako prenosi TechCrunch, radi više nezavisnih prolaza kroz kod kako bi se ublažila nepredvidivost modela, koristi kombinaciju otvorenih i vlasnickih modela i oslanja se na bazu znanja sastavljenu od kompletne istorije Chrome koda na Gitu i svih ranije identifikovanih propusta.
Kako sistem pronalazi propuste
Agentski sistem ne radi kao jednokratna provera pred objavljivanje nove verzije, već kao stalan proces koji prati svaku izmenu koda. Prema opisu Gugla, alat najpre identifikuje sumnjive delove koda, zatim proverava da li se stvarno radi o iskoristivoj ranjivosti, i tek onda prosleđuje nalaz inženjerima na potvrdu i ispravku. Kompanija navodi da je među otkrivenim propustima bio i jedan star 13 godina, vezan za takozvani sandbox escape, tehniku kojom napadač izlazi iz izolovanog okruženja pregledača i dobija šira ovlašćenja na uređaju korisnika.
Big Sleep i CodeMender u svakodnevnoj proveri
Uz novi agentski sistem, Gugl u bezbednosni proces Chromea uklapa i dva ranije predstavljena alata, Big Sleep i CodeMender. Oba su sada deo sistema za kontinuiranu integraciju koda, što znači da automatski proveravaju svaku izmenu koju programeri širom sveta unesu u Chrome, i to na svakih 24 sata. Prema podacima kompanije, samo u maju je ta provera sprečila da više od 20 ranjivosti stigne u produkciju, uključujući jednu ocenjenu kao kritičnu. Big Sleep je ranije bio zaslužan i za otkrivanje propusta u V8, JavaScript motoru Chromea, kao i u komponentama za obradu grafike.
Cesca ažuriranja umesto retkih velikih zakrpa
Povećan obim propusta koje AI alati otkrivaju naveo je Gugl da menja i tempo objavljivanja bezbednosnih ažuriranja. Kompanija najavljuje prelazak na nedeljna, a po potrebi i dvonedeljna objavljivanja zakrpa, umesto dosadašnjeg rasporeda vezanog uglavnom za veće verzije pregledača. Paralelno, Gugl razvija takozvano dinamicko zakrpljivanje, tehnologiju koja bi trebalo da omogući instalaciju bezbednosnih ispravki bez ponovnog pokretanja pregledača, što bi ubrzalo primenu zakrpa kod korisnika koji inače odlažu restart.
Sličan pristup i kod konkurencije
Gugl nije jedina kompanija koja poslednjih meseci izveštava o skoku broja bagova otkrivenih uz pomoć jezičkih modela. Mikrosoft je ranije ove godine saopštio da njegovi timovi koriste slične AI alate za pregled koda Windowsa i drugih proizvoda, sa uporedivim rastom broja otkrivenih i zakrpljenih ranjivosti. Oba primera se navode kao dokaz da je automatizovana analiza izvornog koda, dugo ograničena na relativno spora i skupa rucna testiranja, dostigla tačku u kojoj može da obradi kodne baze veličine Chromea ili Windowsa u razumnom roku.
Šira slika: alat koji radi na obe strane bezbednosti
Rast broja AI otkrivenih propusta u Chromeu deo je šireg trenda u industriji, u kojem kompanije poput Mikrosofta i Gugla izveštavaju o sve većem broju bagova pronađenih uz pomoć jezičkih modela. Isti alati koji ubrzavaju odbranu, međutim, otvaraju i pitanja o zloupotrebi. Bezbednosni istraživači upozoravaju da isti tip agenata koji pretražuje kod radi ranjivosti može, u pogrešnim uslovima ili pogrešnim rukama, doneti i suprotan efekat, na šta su ukazali i noviji slučajevi u kojima su modeli drugih kompanija tokom internih bezbednosnih evaluacija dobili neovlašćen pristup stvarnim, spoljnim sistemima.
Gugl nije precizirao koliki je udeo lažnih prijava, odnosno nalaza koje je AI označio kao ranjivost a koji se nakon provere pokažu kao neopasni, niti koliko ljudskog rada i dalje zahteva provera svakog automatski generisanog izveštaja. Kompanija tvrdi da konačnu odluku o svakoj zakrpi i dalje donose inženjeri, dok AI sistemi služe za pretragu koda i predlaganje rešenja, a ne za samostalno objavljivanje izmena.
Kritični glasovi iz zajednice programera otvorenog koda
Deo bezbednosne zajednice, naročito održavaoci manjih projekata otvorenog koda, u poslednje vreme javno upozorava na drugu stranu istog trenda. Programi za nagradjivanje prijava ranjivosti, poznati kao bug bounty, u nekim slučajevima su preplavljeni automatski generisanim prijavama niskog kvaliteta, u kojima AI alat označi deo koda kao ranjiv iako se posle provere ispostavi da opasnost ne postoji. Za velike kompanije poput Gugla, koje imaju sopstvene timove i mogućnost da agente obučavaju na internim podacima, ovaj problem je manje izražen nego kod manjih timova sa ograničenim resursima za proveru svakog pojedinačnog nalaza.
Zašto je ovo važno za korisnike
Chrome koristi više od tri milijarde ljudi širom sveta, pa svaka neotkrivena ranjivost u praksi predstavlja potencijalnu metu za napadace, od pojedinaca do organizovanih grupa koje cilja specifične sektore poput bankarstva ili državne uprave. Brže i učestalije zakrpe, ukoliko održe kvalitet, direktno smanjuju vreme tokom kojeg je poznat propust dostupan za zloupotrebu. Istovremeno, korisnicima ostaje ista preporuka kao i ranije, redovno ažuriranje pregledača ostaje ključna, iako sada sve više automatizovana, linija odbrane.
Često postavljana pitanja
Koliko je bezbednosnih propusta Gugl ispravio u Chromeu zahvaljujući AI?
Prema saopštenju kompanije, 1.072 propusta u dva izdanja objavljena u junu, Chrome 149 i Chrome 150, što je više nego ukupno u prethodne dve godine, kada je zakrpljeno 1.036 propusta.
Koji AI sistemi stoje iza ovih rezultata?
Agentski sistem izgrađen na modelu Gemini, uz alate Big Sleep, koji traži ranjivosti u već postojećem kodu, i CodeMender, koji je deo svakodnevne provere novog koda.
Da li će Chrome sada dobijati zakrpe češće?
Gugl najavljuje prelazak na nedeljno, a po potrebi i dvaput nedeljno objavljivanje bezbednosnih ažuriranja, uz razvoj tehnologije za instalaciju zakrpa bez ponovnog pokretanja pregledača.
Da li AI alati zamenjuju bezbednosne istraživače u Guglu?
Prema dostupnim informacijama ne, alati služe kao dopuna postojećim timovima za pretragu koda i predlaganje ispravki, dok konačnu proveru i odluku o objavljivanju zakrpe i dalje donose inženjeri.
