Google ha illustrato la sua strategia di sicurezza basata sull’intelligenza artificiale e sui modelli linguistici, annunciando lo sviluppo del “dynamic patching” per il browser Chrome. L’obiettivo è applicare le correzioni di sicurezza senza costringere l’utente a riavviare il programma.

L’azienda ha messo nero su bianco i piani per eliminare uno dei fastidi più comuni per gli utenti: la necessità del riavvio obbligatorio dopo ogni aggiornamento. Il dynamic patching è una tecnica progettata per installare le patch mentre l’utente continua a navigare, trasformando Chrome in un banco di prova per un nuovo modello di aggiornamenti che mira a ridurre al minimo le interruzioni.

Il funzionamento si basa sull’architettura multiprocesso del browser. Il dynamic patching sostituirà dinamicamente i processi figli in background – come Renderer e GPU – con i binari aggiornati, evitando la chiusura e riapertura completa del browser. La funzione è attualmente in fase di ricerca e sviluppo.

Parallelamente, Google sta lavorando a un sistema di ripristino della sessione fluido, anche nei casi più complessi, salvando localmente una maggiore quantità di dati sullo stato corrente. Questa necessità si fa sentire con l’imminente passaggio al ciclo di rilascio biennale previsto entro la fine dell’anno, che potrebbe portare fino a due aggiornamenti di sicurezza settimanali per rispondere ad attacchi resi più rapidi proprio dall’AI.

Nel frattempo, Google cerca “momenti opportuni” per avviare automaticamente il riavvio solo quando può garantire il recupero della sessione. Un primo esempio è già disponibile in Chrome 150 su macOS: se ci sono aggiornamenti in sospeso e nessuna finestra aperta, il browser si riavvia automaticamente senza richiedere l’intervento dell’utente.

L’accelerazione di questo processo è dovuta all’uso massiccio di modelli per la ricerca di bug, un lavoro iniziato nel 2023. Google ha costruito un sistema di agenti basato su Gemini e altri modelli per individuare vulnerabilità nell’intero codice di Chromium con maggiore efficienza e meno falsi positivi. Un caso emblematico è una falla rimasta nascosta nel codice per ben 13 anni.

Sul fronte della sicurezza operativa, l’azienda sottolinea alcuni aspetti chiave. I modelli analizzano il codice sorgente “a riposo” su macchine isolate prive di accesso a Internet, con un’infrastruttura che intercetta le richieste di rete e le filtra tramite allowlist rigide. Nessun modello opera in modalità libera e i subagenti non possono modificare il sistema locale né accedere a file al di fuori delle cartelle del codice.

La collaborazione con DeepMind e Project Zero, attraverso strumenti come BigSleep e CodeMender, è integrata nella CI (Continuous Integration) e viene eseguita ogni 24 ore su tutte le modifiche. Solo nel mese di maggio sono state bloccate oltre 20 vulnerabilità prima che raggiungessero la produzione, incluso un problema critico di livello S1+.

Il processo di correzione si basa su un flusso multi-agente: un agente genera diverse patch candidate, un agente “critico” seleziona la migliore in un ciclo che imita la revisione del codice, mentre altri agenti scrivono i test su tutte le piattaforme supportate. I numeri parlano chiaro: tra Chrome 149 e 150 sono stati corretti 1072 bug di sicurezza, superando il numero totale di quelli sistemati nelle precedenti 23 versioni messe insieme.

La visione dichiarata è quella di un browser sempre aggiornato, corretto in modo continuo e riavviato solo nei momenti di minima interferenza. Resta da capire quanto il dynamic patching reggerà fuori dai laboratori, quando andrà applicato ai casi reali e complessi che in queste ore restano al centro della ricerca.