Chrome patcht nun zweimal pro Woche Sicherheitslücken, und KI hat die meisten gefunden

Wichtigste Punkte

• Googles Chrome-Browser behob in seinen beiden Hauptversionen im Juni 2025 Fehler für 1.072 Sicherheitslücken – mehr als in den vorherigen 23 Hauptversionen zusammen.
• Chromes Sicherheitsteam veröffentlicht nun Patches zweimal pro Woche, statt wie zuvor alle zwei Wochen ein großes Update.
• Der Anstieg wird hauptsächlich durch KI-Tools vorangetrieben, die Chromes eigene Ingenieure nutzen, um Sicherheitslücken im Code des Browsers zu finden, zu sortieren und zu beheben.
• Google trainiert seine KI-Modelle auf alle bisherigen Chrome-Sicherheitsfehler und jede einzelne Codezeile aus der Browserhistorie, um Muster zu erkennen, die Menschen übersehen würden.
• Chromes VP Parisa Tabriz sagte gegenüber Wired, dass dieses Jahr „ein Wendepunkt sowohl bei Angriff als auch bei Abwehr" ist.

Google verteilt Fixes für 1.072 Sicherheitsfehler in Chromes beiden Juni-Versionen. Das sind mehr Patches als das Team in den vorherigen 23 Hauptversionen zusammen veröffentlicht hat. Der Browser sendet nun zweimal pro Woche Updates.

Der Grund liegt in KI, angewendet von innen heraus.

Was macht Chromes Team tatsächlich?

Chromes Ingenieure nutzen KI-Tools, um Schwachstellen im Code des Browsers selbst zu finden, zu bewerten, welche am wichtigsten sind, und beim Schreiben von Fixes zu helfen. Das ist für Google nicht neu: Chromes VP und General Manager Parisa Tabriz sagte gegenüber Wired, dass das Team seit mindestens 2012 Machine-Learning-Tools für Sicherheitstests nutzt. Aber sie nannte 2025 „sehr unterschiedlich" und einen „Wendepunkt".

Ein Schlüsselteil des Ansatzes ist das, was das Team seinen Modellen beibringt. Doug Turner, Chromes Director of Engineering, sagt, die KI kennt alle CVEs (eine CVE ist ein offiziell nummieriertes Verzeichnis einer bekannten Sicherheitslücke), die Chrome je hatte, plus die vollständige Historie, warum jede Codezeile im Browser je verändert wurde. Dieser Kontext erlaubt der KI, sich auf Ecken des Codes zu konzentrieren, die menschliche Reviewer selten besuchen – einschließlich Features wie Druck, die nicht mehr aktiv entwickelt werden.

Sollten Chrome-Nutzer sich Sorgen um all diese Bugs machen?

Nicht wirklich. Bugs schnell zu finden und zu beheben ist das gute Szenario. Die Sorge wäre, wenn Angreifer die Bugs zuerst finden würden.

Turner sieht auch erste Anzeichen dafür, dass dieser aktuelle Rausch nicht anhalten wird. Sobald KI-Tools eine reife Codebasis durchkämmen und die Masse der versteckten Fehler behoben ist, sollte die Entdeckungsrate sinken. Es gibt eine Obergrenze für die Anzahl von Sicherheitslücken in einer beliebigen Software.

Neben dem Beheben einzelner Fehler schreibt Chromes Team Teile des Browsers in Rust neu – eine Programmiersprache, die ganze Kategorien speicherbezogener Bugs eliminiert, die Software seit Jahrzehnten plagen. Das ist die strukturelle Lösung, nicht nur die oberflächliche Arbeit.

„Es gibt diesen kurzfristigen Anstieg, aber ich glaube, es wird ein neues Gleichgewicht geben", sagte Tabriz.

Was bedeutet das für den Rest der Softwareindustrie?

Chrome ist ein Datenpunkt, aber die gleichen KI-Scanning-Tools stehen jedem zur Verfügung, der Software entwickelt, und auch Angreifern, die nach Schwachstellen suchen. Das Rennen ist real. Tabriz drückte es deutlich aus: Sicherheit wird nicht kostenlos kommen, und Teams, die KI nicht in ihre Sicherheits-Workflows einbeziehen, sind bereits im Rückstand.

Das sollten Sie beachten: Ihr Chrome-Browser aktualisiert sich automatisch, daher ist auf den meisten Geräten keine Aktion erforderlich. Falls Sie automatische Updates deaktiviert haben, ist jetzt ein guter Zeitpunkt, sie wieder einzuschalten. Gehen Sie zu Chromes Einstellungen, wählen Sie „Über Chrome" und lassen Sie das System auf die neueste Version prüfen.