Chrome: AI fandt 1.072 sikkerhedsfejl — opdater nu

Google har annonceret, at AI-systemer hjalp med at identificere og fikse 1.072 sikkerhedsfejl i de to seneste store Chrome-versioner — Chrome 149 og Chrome 150. Det tal er ikke blot imponerende i sig selv: ifølge Google overstiger det det samlede antal fejl, der blev rettet i de foregående 23 Chrome-versioner tilsammen.

Det er et afgørende skifte i, hvordan browsersikkerhed håndteres — og et klart signal om, at AI-drevet sårbarhedsscanning er ved at erstatte traditionelle metoder.

1.072 fejl på to versioner

For at sætte tallene i perspektiv: Google udgiver Chrome-opdateringer hyppigt, og sikkerhedsfejl bliver løbende opdaget og rettet. Men at rette over tusind sikkerhedsproblemer på blot to versioner er uden fortilfælde.

Det skyldes primært, at Google har integreret AI-systemer i hele sikkerhedskæden — fra opdagelse af sårbarhed til reproduktion, prioritering, tildeling til udviklere og generering af kandidatrettelser. Der er ikke tale om én enkelt AI-model, men et netværk af specialiserede systemer, der arbejder i forlængelse af hinanden.

Resultatet er en markant acceleration i tempo og bredde, som menneskelige sikkerhedsforskere alene ikke ville kunne matche.

Hvad er Big Sleep og Naptime?

To AI-systemer er særligt centrale i denne indsats.

Big Sleep

Big Sleep er et AI-drevet sårbarhedsscannende agent-system, udviklet i samarbejde mellem Google DeepMind og Project Zero — Googles elite-sikkerhedsteam. Big Sleep er specialiseret i at opdage svagheder i kode ved at analysere store mængder kildetekst og simulere angrebsscenarier.

Det var Big Sleep, der i 2026 opdagede en Chrome sandbox escape-sårbarhed, som havde ligget uopdaget i kodebasen i over 13 år. Fejlen ville have gjort det muligt for en kompromitteret renderer at undslippe sandkassen og narre browseren til at læse lokale filer — en kritisk sårbarhed med potentiale for alvorlige angreb.

Naptime

Naptime er et supplerende system, der ligeledes er udviklet i samarbejde med Project Zero. Det giver AI-modellerne specialiserede sikkerhedsforskningsværktøjer og er designet til at mindske falske positiver — altså fejlpositive rapporter, der ellers kan spilde sikkerhedsteamets tid.

Tidligt i 2026 oprettede Google desuden en Gemini-drevet agent specielt til at gennemsøge hele Chrome-kodebasen for potentielle sikkerhedsproblemer.

En fejl der havde ligget i 13 år

Den 13 år gamle sandbox escape-sårbarhed er et skoleeksempel på, hvad AI-drevet sikkerhedsscanning kan gøre, som mennesker har svært ved. Det er ikke fordi, menneskelige sikkerhedsforskere er inkompetente — det er fordi, kodebaser vokser sig enorme over tid, og kode fra et årti siden let falder ud af fokus.

Et menneskeligt sikkerhedsteam arbejder med prioriteringer og ressourcebegrænsninger. En AI-agent kan i princippet gennemgå hele kodebasen systematisk, igen og igen, uden træthed.

Sandkasse-escapen ville have tilladt en angriber at eskalere rettigheder og tilgå filer på brugerens lokale maskine — en fejl med potentiale for betydelig skade, hvis den var blevet udnyttet aktivt, inden den blev opdaget.

Hvad sker der med opdagede fejl?

Processen, som Google beskriver, er en helautomatisk pipeline:

1. AI-agenter scanner koden og identificerer mistænkelige mønstre
2. Sårbarhederne reproduceres automatisk for at bekræfte, at de er reelle
3. Alvorsgraden vurderes og prioriteres
4. Fejlen tildeles den relevante udvikler
5. Kandidatrettelser genereres automatisk
6. En separat agent evaluerer rettelserne og producerer supplerende information til de menneskelige udviklere

I maj 2026 rapporterede Google, at systemerne havde forhindret mere end 20 sårbarheder i at nå produktion — herunder én kritisk fejl.

I marts 2026 modtog Google flere fejlrapporter via Chrome Vulnerability Reward Program end i hele 2025 tilsammen. Programmet er efterfølgende justeret for at prioritere rapporter, der tilfører reel merværdi ud over, hvad de automatiserede systemer allerede finder.

Læs BleepingComputers dækning af de 1.072 Chrome-sikkerhedsfejl.

Fremtiden: hurtigere opdateringer og dynamisk patching

Google ændrer ikke kun måden, fejl opdages på — de ændrer også måden, de rettes på.

Google er ved at overgå til en to-ugers udgivelsescyklus for store versioner og har allerede indført ugentlige sikkerhedsopdateringer. Derudover piloterer Google to sikkerhedsopdateringer om ugen som et nyt eksperiment.

På sigt arbejder Google på det, de kalder "dynamic patching" — en mekanisme, der giver mulighed for at levere sikkerhedsrettelser uden, at brugeren behøver at genstarte browseren. Chrome på macOS er allerede ved at få en automatisk genstart-funktion.

Målet er en browser, der i praksis altid er opdateret uden brugerens aktive medvirken.

Hvad skal du gøre nu?

Det korte svar: opdater Chrome nu. Tjek at du kører Chrome 150 eller nyere ved at gå til Indstillinger → Hjælp → Om Google Chrome. Browseren søger automatisk efter opdateringer, men en genstart kan være nødvendig for at den seneste version aktiveres.

De 1.072 rettede fejl dækker et bredt spektrum — fra mindre problemer til kritiske sårbarheder som den nævnte sandbox escape. Jo længere tid, der går, inden en opdatering installeres, desto større er risikoen for at blive ramt af en af de fejl, der nu er offentlig viden.

Se også Googles seneste zero-day-rettelse til Chrome i 2026.

AI-drevet sikkerhedsscanning er ikke en fremtidsvision — det er allerede i produktion, og resultaterne er markante. Spørgsmålet er, om angrebssiden vil adoptere de samme metoder i endnu højere tempo. Det er det kapløb, Google og resten af branchen er midt i.