Pour réduire le délai entre la découverte d’une faille et son déploiement auprès des utilisateurs, l’éditeur mise sur l’IA pour améliorer ses processus de sécurité.
Avec la multiplication des vulnérabilités logicielles, la rapidité de réaction est devenue un enjeu majeur pour les éditeurs. Google explique dans un billet publié sur son blog sécurité que ses outils IA offrent la possibilité désormais d’analyser le code, de détecter certaines failles plus rapidement. Résultat, les versions Chrome 149 et 150 ont permis de corriger 1 072 failles de sécurité, soit davantage que l’ensemble des correctifs déployés lors des 23 versions précédentes du navigateur, selon BleepingComputer.
Selon Google, l’IA est désormais utilisée à plusieurs niveaux du cycle de sécurisation. Les modèles analysent le code, identifient des schémas similaires à des vulnérabilités historiques, proposent des correctifs potentiels et assistent les équipes dans les phases de validation. Cette automatisation change la nature du problème. Pendant longtemps, la difficulté consistait à découvrir les vulnérabilités. Désormais, le principal défi devient leur validation, leur correction et leur diffusion auprès des utilisateurs avant que des acteurs malveillants ne puissent les exploiter. Google estime ainsi que le volume de failles identifiées continuera à augmenter à mesure que les outils d’analyse gagnent en efficacité. Une évolution qui concerne l’ensemble de l’industrie logicielle et pas uniquement le navigateur Chrome.
Réduire la « patch gap »
Pour l’éditeur, le véritable risque réside dans ce que les spécialistes appellent la « patch gap », c’est-à-dire l’intervalle entre la publication d’un correctif et son installation effective sur les postes utilisateurs. Le problème est particulièrement sensible pour Chromium, le projet open source qui sert de base à Chrome mais également à Microsoft Edge, Brave, Opera et de nombreux autres navigateurs. Une fois un correctif publié, les détails techniques deviennent rapidement accessibles aux chercheurs… mais aussi aux attaquants.
Pour réduire cette fenêtre d’exposition, Google a déjà accéléré son rythme de publication ces dernières années. Après avoir accéléré la diffusion des correctifs de sécurité, Google travaille également à réduire le cycle de publication des versions majeures de Chrome, avec un objectif de versions publiées toutes les deux semaines.
Des mises à jour sans redémarrage
L’autre chantier concerne l’expérience utilisateur. Même lorsque les correctifs sont téléchargés automatiquement, leur activation nécessite encore souvent un redémarrage du navigateur. Or de nombreux utilisateurs repoussent cette opération pendant plusieurs jours, voire plusieurs semaines. Google travaille donc sur des mécanismes de « dynamic patching » capables d’appliquer certains correctifs de sécurité sans interrompre la session utilisateur. L’objectif affiché est de rendre les mises à jour quasiment invisibles. L’éditeur expérimente déjà des redémarrages automatiques lorsque Chrome détecte qu’il tourne en arrière-plan sans fenêtre ouverte, une fonctionnalité actuellement limitée à macOS dans Chrome 150. À terme, l’ambition est de maintenir le navigateur à jour en permanence, sans intervention de l’utilisateur.
Cette évolution illustre un phénomène plus large observé dans la cybersécurité. Les mêmes technologies IA qui donne aux éditeurs la possibilité d’identifier plus rapidement les failles peuvent également être utilisées par des attaquants pour automatiser la recherche de vulnérabilités ou développer des techniques d’exploitation plus sophistiquées. Google considère ainsi que l’accélération du rythme de correction n’est plus un simple enjeu d’efficacité opérationnelle mais une nécessité stratégique.