Foto di Addy Osmani.

Google sta valutando di accelerare il ciclo di aggiornamenti di Chrome dopo che l'impiego di strumenti di analisi automatizzata basati su modelli di intelligenza artificiale ha portato all'individuazione di un numero di vulnerabilità mai registrato prima. Le versioni 149 e 150 del browser, rilasciate a distanza di poche settimane, hanno corretto complessivamente 1.072 bug di sicurezza, superando il totale dei fix introdotti nelle precedenti 23 versioni. Il merito è della IA: gli agenti automatizzati sviluppati con DeepMind e Project Zero stanno eseguendo scansioni del codice in un modo non ottenibile con i metodi tradizionali. In almeno un caso, l'analisi ha individuato una vulnerabilità rimasta nel codice per 13 anni, potenzialmente in grado di consentire a un attaccante di aggirare la sandbox del browser e accedere ai file locali del sistema.

L'aumento del ritmo di scoperta sta costringendo Google a rivedere il modello di distribuzione delle patch. Il ciclo di rilascio è già stato ridotto a due settimane, ma l'azienda sta sperimentando un'ulteriore accelerazione che potrebbe portare a due aggiornamenti di sicurezza alla settimana. L'obiettivo è ridurre al minimo l'intervallo tra l'identificazione di una vulnerabilità e la disponibilità della correzione agli utenti. Parallelamente, Google riconosce che gli stessi strumenti di analisi automatizzata potrebbero essere impiegati da malintenzionati per individuare falle con la stessa rapidità. L'unica risposta possibile, secondo l'azienda, è aumentare la velocità di distribuzione delle patch e ridurre la dipendenza dall'intervento dell'utente.

Il problema principale riguarda infatti l'installazione degli aggiornamenti. Chrome scarica automaticamente le nuove versioni in background, ma l'applicazione effettiva della patch richiede un riavvio del browser. Molti utenti rimandano questa operazione, lasciando il sistema esposto più a lungo del previsto. Per mitigare il problema, Chrome 150 su macOS ha introdotto il cosiddetto "zero window restart": se tutte le finestre sono chiuse ma l'applicazione resta attiva in background, il browser può riavviarsi autonomamente e applicare l'aggiornamento senza intervento dell'utente. Google sta inoltre lavorando a un'evoluzione più profonda dell'architettura del browser, denominata "dynamic patching". Questa tecnologia punta a eliminare del tutto la necessità di un riavvio, sostituendo in sequenza i processi secondari del browser con versioni aggiornate. Il sistema «sostituisce sequenzialmente i processi figlio in background (come Renderer e GPU) con binari aggiornati al volo», sfruttando la struttura multi-processo di Chrome.

Il dynamic patching è ancora in fase di sviluppo e Google non ha fornito una data per la disponibilità. Tuttavia, l'investimento in questa direzione indica una strategia orientata a un browser che si aggiorna in modo continuo e invisibile, riducendo al minimo l'interruzione dell'esperienza d'uso.

Proposte di lettura:

Cloudflare OS sfida Microsoft 365: nasce la suite IA che crea applicazioni su ri...

Falla in Claude per Chrome: estensioni malevole possono leggere Gmail e document...

Cloudflare e i browser contro i bot: PACT verifica l'identità degli ute...

Password in chiaro nella memoria di Edge