Chrome: l'IA di Google trova un bug nascosto da 13 anni

Sicurezza digitale · Intelligenza Artificiale · Aggiornato: 3 agosto 2026

Secondo un post ufficiale pubblicato sul blog di sicurezza di Google, un sistema di agenti basato su Gemini ha individuato un bug in Chrome rimasto nel codice per oltre 13 anni. Nelle versioni Chrome 149 e 150, Google riporta di aver corretto complessivamente 1.072 problemi di sicurezza. In questa guida spiego cosa significa davvero, se Chrome era meno sicuro di quanto pensassi, e come verificare di avere l'ultima versione installata.

In breve

Google descrive un sistema di agenti IA basati su Gemini impiegati per analizzare il codice sorgente di Chrome, individuando vulnerabilità che i normali processi di revisione avevano lasciato passare per anni. Separatamente, Chrome 149 e 150 hanno totalizzato insieme 1.072 correzioni di sicurezza. Tra le scoperte più interessanti raccontate da Google, un bug di tipo "sandbox escape" rimasto nel codice per oltre 13 anni, già corretto nelle versioni pubblicate al momento di questo articolo. Google riferisce inoltre di stare sperimentando aggiornamenti di sicurezza più frequenti e patch che non richiedono il riavvio completo del browser.

✓ Perché fidarsi di questa notizia

I dati numerici principali (1.072 bug, 13 anni, Chrome 149/150) provengono direttamente dal post ufficiale sul blog di sicurezza di Google, non da una fonte secondaria. Ho riscontrato gli stessi numeri principali anche in alcune testate tecniche indipendenti, tra cui BleepingComputer e Security Affairs.

🔍 Fonte e metodo di verifica

• Fonte primaria: il post ufficiale "Stronger with every update: How we're making Chrome and the web safer in the AI Era", pubblicato sul blog di sicurezza di Google (blog.google) a fine luglio 2026.
• Fonti secondarie consultate: BleepingComputer, Forbes, Security Affairs, Digital Trends, TechTimes e Computerworld.
• Non ho verificato personalmente il codice di Chrome né i dettagli tecnici del bug specifico: le informazioni derivano dal resoconto ufficiale Google e dalla copertura giornalistica indipendente.
• Sulla copertura italiana: non ho trovato copertura ampia nelle testate tech italiane consultate al momento della verifica — non è un'affermazione assoluta sull'intero panorama editoriale italiano, solo il riscontro delle mie ricerche.
• Ultima verifica dell'articolo: 3 agosto 2026.
• Trasparenza: questo articolo è informativo. Eventuali consigli o link commerciali saranno sempre indicati in modo trasparente.

Bug corretti secondo Google

1.072 Nelle versioni Chrome 149 e 150 insieme, secondo il post ufficiale.

Bug più vecchio trovato

13+ anni Una vulnerabilità sandbox escape presente nel codice da oltre un decennio.

Frequenza patch in test

Fino a 2 a settimana Sperimentazione descritta da Google, non ancora standard.

Negli ultimi articoli ho parlato spesso di falle sfruttate da criminali — l'estensione Adobe Acrobat o Rokarolla su Android. Questa notizia racconta l'altra faccia della stessa medaglia: la stessa intelligenza artificiale che alimenta preoccupazioni sulla sicurezza digitale viene ora usata, secondo Google, anche per anticipare gli attaccanti, scovando problemi prima che qualcuno possa sfruttarli. Vale la pena capire cosa significa davvero, senza cadere né nell'allarmismo né nell'entusiasmo acritico.

Indice rapido

• Cos'è successo: l'annuncio ufficiale di Google
• Come funziona il sistema di agenti IA di Chrome
• Il bug sopravvissuto 13 anni: cosa significa davvero
• Non è iniziato oggi: l'evoluzione dal 2023
• Il problema del "patch gap": perché la velocità conta
• Cosa cambia per te: patch dinamiche e riavvii automatici
• Perché Google punta su Rust al posto di C++
• Chrome era insicuro, o oggi vediamo di più?
• Come verificare di avere l'ultima versione di Chrome
• Cosa sappiamo e cosa non sappiamo
• Cosa significa per un utente italiano
• Domande frequenti

01

Cos'è successo: l'annuncio ufficiale di Google

A fine luglio 2026 Google ha pubblicato sul proprio blog di sicurezza un resoconto intitolato "Stronger with every update", in cui descrive come il team di sicurezza di Chrome stia impiegando sistemi di intelligenza artificiale basati su Gemini per analizzare il codice sorgente del browser su scala più ampia di quanto fosse possibile fino a poco tempo fa.

Nelle versioni principali Chrome 149 e 150 Google afferma di aver corretto complessivamente 1.072 problemi di sicurezza, più di quelli risolti nelle precedenti 23 versioni principali messe insieme. Separatamente, l'azienda ha raccontato che un sistema basato su Gemini ha individuato una vulnerabilità di tipo "sandbox escape" rimasta nel codice di Chrome per oltre 13 anni, già corretta nelle versioni pubblicate al momento in cui scriviamo.

02

Come funziona il sistema di agenti IA di Chrome

Secondo il post ufficiale, il processo si articola in più tipi di agenti IA specializzati, ciascuno con un compito preciso nella filiera di sicurezza.

Questa parte è per chi vuole capire meglio il meccanismo tecnico. Se vuoi solo sapere cosa è stato scoperto e come proteggerti, puoi saltarla e andare alla sezione pratica più sotto.

Per approfondire: i tre tipi di agenti IA descritti da Google

Google utilizza agenti differenti per individuare vulnerabilità, proporre possibili correzioni, valutarle e generare test. I "fixing agents" analizzano un bug segnalato e generano possibili correzioni al codice. I "critic agents" esaminano quelle correzioni proposte, verificando che rispettino gli standard di qualità e sicurezza di Chrome. I "test-writing agents" creano test automatici per verificare che la correzione funzioni su tutte le piattaforme supportate dal browser. Le proposte vengono poi esaminate dagli sviluppatori prima di essere integrate nel codice di Chrome. Google descrive questo controllo come applicato ricorrentemente alle modifiche al codice ("CL", change list). L'azienda riferisce inoltre che, nel solo mese di maggio 2026, questo processo ha bloccato oltre 20 vulnerabilità prima che raggiungessero la versione pubblica del browser, incluso un problema classificato come critico (S1+).

In parole semplici

Prima che un aggiornamento di Chrome esca pubblicamente, secondo Google diversi agenti IA collaborano per trovare problemi, proporre soluzioni e verificarle con test automatici. Gli sviluppatori umani esaminano poi queste proposte prima che vengano integrate nel codice definitivo.

03

Il bug sopravvissuto 13 anni: cosa significa davvero

Una delle scoperte più interessanti raccontate da Google riguarda una vulnerabilità di tipo "sandbox escape". Per capire perché è rilevante, serve un passaggio indietro: Chrome isola ogni scheda del browser in un ambiente separato e limitato, chiamato "sandbox", per contenere i danni se una pagina web dannosa riesce a compromettere il processo che la gestisce (il "renderer"). Secondo Google, questo specifico bug avrebbe permesso a un renderer già compromesso di ingannare il browser e fargli leggere file presenti sul computer dell'utente — un modo per "scappare" da quell'ambiente isolato.

TechTimes, riprendendo l'analisi di Google, osserva che il bug non è sopravvissuto perché fosse particolarmente sottile o ben nascosto, ma perché i processi di revisione tradizionali tendono a concentrarsi sul codice modificato di recente, sui crash che generano segnalazioni automatiche, o sulle scoperte di ricercatori esterni — nessuno di questi approcci è pensato per rivedere sistematicamente codice vecchio di 13 anni, dentro una base di codice enorme e in continua evoluzione come quella di Chrome.

04

Non è iniziato oggi: l'evoluzione dal 2023

Un dettaglio spesso perso nella copertura più superficiale della notizia: l'uso di modelli linguistici per la sicurezza di Chrome non è iniziato in questi mesi, ma è, secondo quanto descritto dallo stesso blog Google, il risultato di un percorso di alcuni anni.

• 2023: secondo Google, iniziano a usare modelli linguistici per aumentare la copertura del "fuzzing" — la tecnica che testa il software con dati casuali per scovare errori.
• 2024: collaborazione con Project Zero sul progetto "Naptime", che fornisce ai modelli linguistici strumenti specializzati per la ricerca di vulnerabilità.
• 2025: nasce "Big Sleep", un agente IA per la scoperta di vulnerabilità sviluppato con Google DeepMind e Project Zero, che secondo Google trova bug nel motore JavaScript V8 e nello stack grafico di Chrome.
• Inizio 2026: viene costruito un sistema di agenti basato su Gemini, esteso a tutta la base di codice di Chrome — è questo sistema, secondo Google, ad aver trovato il bug di 13 anni.

05

Il problema del "patch gap": perché la velocità conta

Google dedica una parte consistente del proprio annuncio a un problema strutturale della sicurezza software: il cosiddetto "patch gap". Una volta che una correzione viene inclusa nel codice sorgente pubblico di Chrome (che è un progetto open source), gli aggressori possono analizzarla per capire quale fosse il bug originale, e provare a sfruttarlo sui dispositivi che non hanno ancora ricevuto l'aggiornamento — un tipo di attacco noto come "N-day", perché sfrutta una falla già nota da N giorni, non più sconosciuta ("zero-day").

Secondo Google, le correzioni impiegano tipicamente settimane per passare dal codice principale al canale "Stable" di Chrome (quello usato dalla maggior parte degli utenti): ridurre questo intervallo di tempo diventa quindi, secondo l'azienda, una priorità di sicurezza concreta.

06

Cosa cambia per te: patch dinamiche e riavvii automatici

Per affrontare il problema del patch gap, Google riferisce di stare sperimentando alcuni cambiamenti che riguardano direttamente l'esperienza quotidiana di chi usa Chrome.

Fino a due aggiornamenti a settimana Secondo Google, per ridurre la finestra di esposizione alle vulnerabilità note, rispetto al ritmo attuale.

Patch senza riavvio completo ("dynamic patching") Secondo quanto riportato da Google, alcuni componenti del browser potrebbero essere sostituiti in background, senza interrompere il lavoro dell'utente.

Riavvii automatici quando il browser è inattivo Su macOS, in particolare, quando non ci sono finestre aperte, per applicare aggiornamenti che richiedono comunque un riavvio.

Il ragionamento alla base, secondo Google, è pratico: molti utenti rimandano il riavvio del browser perché interrompe il lavoro in corso, e questo li lascia esposti più a lungo del necessario a vulnerabilità già corrette ma non ancora applicate sul proprio dispositivo.

07

Perché Google punta su Rust al posto di C++

Un altro elemento della strategia riguarda il linguaggio di programmazione usato per scrivere parti di Chrome. Storicamente, gran parte del browser è scritta in C++, un linguaggio potente ma che lascia allo sviluppatore la piena responsabilità della gestione della memoria — un errore in questa gestione è una causa comune delle vulnerabilità di sicurezza nei software di questo tipo. Rust, un linguaggio più recente, include controlli automatici pensati per rendere più difficile commettere questo tipo di errore.

Sostituire componenti scritti in C++ con equivalenti in Rust è un lavoro lungo e non immediato, ma può ridurre nel tempo la superficie di attacco complessiva del browser, indipendentemente da quanti bug l'IA riesca a trovare nel codice esistente.

08

Chrome era insicuro, o oggi vediamo di più?

Questa è probabilmente la domanda più interessante che questa notizia solleva, ed è anche quella a cui è più facile rispondere in modo sbagliato in entrambe le direzioni.

Non significa necessariamente che Chrome fosse insolitamente pericoloso rispetto ad altri browser. Ogni software di dimensioni comparabili — un sistema operativo, un altro browser, una suite applicativa complessa — accumula nel tempo bug che i processi di revisione tradizionali non riescono a intercettare tutti. Il numero di 1.072 non misura da solo quanto Chrome fosse vulnerabile: riflette, secondo la stessa spiegazione di Google, quanto più efficacemente l'IA riesca a scandagliare codice che altrimenti sarebbe rimasto invisibile per anni.

Detto questo, sarebbe altrettanto sbagliato liquidare la notizia come pura buona notizia senza sfumature: Google stessa riconosce, secondo le fonti consultate, che l'IA non sostituisce interamente le tecniche di sicurezza esistenti come il fuzzing, ma le affianca. E lo stesso tipo di tecnologia usata per trovare bug più in fretta potrebbe, in teoria, essere impiegata anche da chi cerca di sfruttarli — anche se al momento nessuna fonte consultata documenta un uso malevolo di sistemi comparabili su questa scala.

09

Come verificare di avere l'ultima versione di Chrome

1. Apri Chrome e clicca sui tre puntini verticali in alto a destra (menu principale).
2. Vai su "Guida", poi seleziona "Informazioni su Google Chrome".
3. Chrome controllerà automaticamente se è disponibile un aggiornamento e lo scaricherà se necessario.
4. Se compare il pulsante "Riavvia", clicca su di esso per completare l'installazione: senza il riavvio, l'aggiornamento resta scaricato ma non attivo.
5. Controlla il messaggio mostrato nella pagina: Chrome deve indicare che il browser è aggiornato. Non è necessario ricordare manualmente il numero dell'ultima versione, perché Chrome rilascia nuove versioni con cadenza regolare e quel numero cambia costantemente.

Se usi un dispositivo aziendale o gestito centralmente (scuola, ufficio), gli aggiornamenti potrebbero essere gestiti direttamente dal reparto IT: in quel caso, verificare la versione resta comunque utile, ma l'installazione potrebbe non dipendere da te.

10

Cosa sappiamo e cosa non sappiamo

Informazione	Stato
1.072 bug corretti in Chrome 149 e 150	Riportato da Google
Bug sandbox escape presente da oltre 13 anni	Riportato da Google
Sfruttamento reale del bug prima della correzione	Nessuna evidenza riportata
Due aggiornamenti di sicurezza a settimana	In fase di sperimentazione, non ancora standard
Data esatta di adozione definitiva delle nuove modalità di patch	Non specificata da Google

11

Cosa significa per un utente italiano

Chrome resta uno dei browser più diffusi anche in Italia, sia su desktop sia su dispositivi Android. Le modifiche descritte in questo articolo si applicano automaticamente a chiunque usi Chrome, indipendentemente dal Paese: non risultano differenze regionali nel modo in cui gli aggiornamenti di sicurezza vengono distribuiti.

Il consiglio pratico resta lo stesso di sempre, ma questa notizia lo rende ancora più rilevante: tenere Chrome aggiornato, e non rimandare i riavvii richiesti dal browser quando segnala un aggiornamento pendente, specialmente alla luce del problema del "patch gap" descritto sopra — più a lungo rimandi il riavvio, più a lungo resti esposto a una vulnerabilità che, nel frattempo, è già pubblicamente nota nel codice sorgente.

Quick checklist — Chrome sempre aggiornato

Hai controllato Guida → Informazioni su Google Chrome di recente? Fallo ora: richiede meno di un minuto.

Chrome ti chiede di riavviare? Fallo appena possibile, non rimandarlo per giorni.

Usi Chrome su più dispositivi (PC, telefono, tablet)? Controllali tutti separatamente: l'aggiornamento non è sempre sincronizzato.

Usi un PC aziendale o scolastico? Verifica con l'IT che gli aggiornamenti automatici siano effettivamente attivi.

📚 Fonti per approfondire

• Google Security Blog — annuncio ufficiale completo
• BleepingComputer — copertura tecnica indipendente
• Security Affairs — dettagli sul sistema di triage automatico

🔎 Leggi anche su ScelgoIo

• Adobe Acrobat poteva leggere le chat di WhatsApp Web su Chrome
• Rokarolla su Android: il falso Play Protect che ruba OTP e dati bancari

12

Domande frequenti

Il bug di 13 anni è stato sfruttato da qualcuno? +

No: non risultano evidenze pubbliche di uno sfruttamento del bug. Per proteggerti è sufficiente mantenere Chrome aggiornato e riavviare il browser quando viene richiesto.

Devo fare qualcosa di diverso dal solito per proteggermi? +

No. Non servono procedure speciali: controlla che Chrome risulti aggiornato e completa il riavvio quando il browser lo richiede.

Chrome era davvero poco sicuro fino a oggi? +

Il numero elevato di correzioni riflette, secondo Google, più l'efficacia dei nuovi strumenti di analisi che un livello insolito di insicurezza rispetto ad altri software di dimensioni comparabili.

Gli aggiornamenti due volte a settimana sono già attivi? +

Secondo l'annuncio di Google, questa modalità è in fase di sperimentazione, non ancora uno standard confermato per tutti gli utenti.

Questa notizia mostra un lato meno raccontato dell'intelligenza artificiale: non solo nuovo rischio, ma anche nuovo strumento di difesa. Vale la pena continuare a seguirlo, con la stessa curiosità critica con cui guardiamo alle minacce.

E tu: pensi che l'IA renda davvero il software più sicuro, o temi che la stessa tecnologia possa essere usata anche per attaccare più in fretta? Scrivilo nei commenti.

Rocco Caiazza Fondatore di ScelgoIo · Agosto 2026
Chi è Rocco →