Comment l'IA aide Google à trouver et corriger les bugs de Chrome plus vite

Google affirme avoir corrigé 1 072 failles de sécurité sur deux versions de Chrome publiées en juin. Ce chiffre dépasse les 1 036 bugs corrigés par l'entreprise sur 23 versions au cours des deux années précédentes — un bond historique pour l'équipe de sécurité du navigateur.

Google attribue cette hausse à un seul facteur : l'intelligence artificielle. Début 2026, l'entreprise a construit un dispositif d'agents propulsé par Gemini, conçu pour scanner l'immense base de code de Chrome à la recherche de vulnérabilités tout en minimisant les faux positifs.

L'une des découvertes les plus notables du système fut une vulnérabilité d'évasion de sandbox restée inaperçue dans la base de code pendant plus de 13 ans. Ce type de bug est considéré comme particulièrement dangereux car il peut permettre à des attaquants de s'échapper de l'environnement d'exécution isolé du navigateur pour atteindre le système d'exploitation sous-jacent.

Le scan assisté par IA a aussi, naturellement, provoqué une hausse soudaine du volume de signalements de bugs. Google indique que ce volume avait déjà dépassé le total annuel de 2025 dès mars 2026 — un résultat qui représentait à la fois une réussite et un nouveau défi logistique pour l'équipe de sécurité.

Pour gérer ce volume, Google a largement automatisé son pipeline de tri et de correction. Selon la description de l'entreprise, le système repose désormais sur plusieurs agents d'IA se répartissant des tâches distinctes.

Les « agents de correction » rédigent des correctifs candidats pour chaque vulnérabilité identifiée. Des « agents critiques » distincts évaluent ensuite ces correctifs, filtrant les corrections incorrectes ou incomplètes. Des « agents rédacteurs de tests » génèrent enfin des suites de tests multiplateformes pour chaque correctif, garantissant qu'une correction dans un domaine n'introduit pas de nouveaux problèmes ailleurs.

Ce flux de travail multi-agents place Google parmi un nombre croissant d'entreprises utilisant l'IA pour traquer les vulnérabilités dans leurs bases de code. Microsoft a suivi une trajectoire similaire, trouvant un nombre exponentiellement croissant de bugs dans ses propres produits grâce à des outils de découverte automatisés.

Les experts saluent largement cette évolution, bien que plusieurs questions restent ouvertes. Elles concernent notamment le fait de savoir si les correctifs générés par l'IA parviennent en production sans supervision humaine, quelles étapes de vérification sont obligatoires, et si l'automatisation du processus à cette échelle pourrait introduire de nouvelles catégories de bugs plus difficiles à prévoir.

Néanmoins, la découverte d'une évasion de sandbox passée inaperçue pendant plus d'une décennie constitue une preuve concrète que le scan assisté par IA peut révéler des schémas que des relecteurs humains ont manqués pendant des années.

Google indique prévoir d'étendre cette approche au-delà de Chrome vers d'autres gammes de produits, suggérant que déléguer le scan de vulnérabilités à des agents d'IA devient une procédure standard parmi les grandes entreprises technologiques plutôt qu'une exception.