Уязвимости Chrome теперь ищут агенты Gemini: 1072 бага закрыли за два релиза

В двух релизах Chrome в июне 2026 Google закрыла 1072 бага безопасности. За предыдущие 23 версии, а это два года работы, набралось 1036. Разницу сделали два агента на Gemini: Big Sleep ищет дыры, CodeMender пишет патчи, и оба прогоняются в CI каждые 24 часа по всем коммитам разработчиков.

Ищут не люди. Раньше уязвимости Chrome приносили внешние исследователи, и темп патчей зависел от того, как быстро они копают. Теперь Big Sleep и CodeMender сидят внутри сборки и проходят по коммитам каждые сутки. За один май 2026 они не пустили в продакшн больше 20 уязвимостей, включая одну критическую S1.

Патч собирает не одна модель. Агент-фиксер генерит кандидатов, второй агент их оценивает, третий пишет кросс-платформенные тесты, и только после этого фикс смотрит человек. На этом конвейере Gemini достал из кодовой базы Chrome sandbox escape, который прожил там незамеченным больше 13 лет.

Патчи поедут чаще. Chrome переходит на мажорные релизы раз в две недели и пилотирует по два security-релиза в неделю, чтобы фикс доезжал до пользователей быстрее. В Chrome 150 на macOS браузер сам перезапускается в фоне и докатывает обновление.

К маю 2026 Mozilla нашла больше 270 уязвимостей Firefox с помощью Claude Mythos от Anthropic. Так что промышленный поиск дыр моделями завёлся не в одном Google.

CodeMender с 22 июля 2026 отдают наружу в preview, как управляемого агента в Gemini Enterprise Agent Platform и AI Threat Defense. Он работает с C/C++, Go, Java, Python, Ruby, Rust и TypeScript. Про цену в анонсе молчат.

Google уже переписала правила программы наград Chrome: приоритет теперь у репортов, которые дополняют находки автоматики.