Google affirme que ses outils internes d’IA ont aidé Chrome à corriger 1.072 bugs de sécurité à travers deux versions du navigateur en juin — soit davantage que les 1.036 correctifs recensés sur les 23 versions précédentes sur une période d’environ deux ans.

Les chiffres, dévoilés en même temps qu’un livre blanc de Google sur la découverte et le correctif de vulnérabilités assistés par IA, offrent un exemple concret de la manière dont les grands modèles de langage transforment l’économie de la sécurité logicielle. Pour les éditeurs de navigateurs et les équipes informatiques d’entreprise, cette évolution pourrait signifier que davantage de failles sont détectées avant que les attaquants ne les exploitent — mais aussi une charge opérationnelle bien plus lourde pour valider, hiérarchiser et déployer les correctifs.

La comparaison couvre Chrome 149 et Chrome 150, les deux « jalons » publiés en juin, selon Google. La période antérieure a commencé avec Chrome 126 en juin 2024. Google n’a pas fourni de validation indépendante des chiffres ni de détail permettant de voir combien de correctifs ont été directement générés, découverts ou accélérés par l’IA.

Ce que Google dit avoir changé dans la sécurité de Chrome

Doug Turner, directeur de l’ingénierie de Chrome, a déclaré à TechCrunch que les grands modèles de langage ont transformé la découverte de vulnérabilités, passée d’une activité largement manuelle à un processus automatisé fonctionnant à l’échelle industrielle. Il a indiqué que Google applique des modèles comme Gemini pour identifier et traiter les failles avant que les attaquants ne puissent les utiliser.

Cette distinction est importante. Le chiffre mis en avant par Google décrit des bugs corrigés dans des versions publiées de Chrome, pas nécessairement des vulnérabilités trouvées uniquement par un système d’IA. Le récit public de l’entreprise indique que les outils d’IA ont soutenu le flux de travail global, qui peut inclure l’analyse de code, l’identification de schémas suspects, la proposition de correctifs et l’aide aux ingénieurs pour faire passer les patchs dans les phases de test et de publication.

Les deux versions de juin ont produit 1.072 correctifs de sécurité au total, contre 1.036 sur les 23 versions précédentes. En moyenne simple, cela représente une forte hausse des correctifs par version. Mais cette comparaison ne prouve pas à elle seule que l’IA a causé chaque correctif supplémentaire. Le périmètre des versions, les changements de pratiques de signalement, l’activité de recherche en sécurité et la définition qu’utilise Google pour un bug de sécurité peuvent aussi influencer le total.

Le graphique et le livre blanc de Google sont donc à lire de préférence comme la preuve d’une opération de sécurité en mutation, plutôt que comme un benchmark de performance contrôlé. L’entreprise rapporte elle-même les résultats, et les éléments fournis n’incluent pas d’audit tiers de la méthodologie.

La course plus large aux vulnérabilités assistée par l’IA

L’annonce de Google fait suite à une affirmation similaire de Microsoft. Début juillet, Microsoft a indiqué avoir corrigé un record de 570 failles de sécurité sur l’ensemble de ses lignes de produits lors de son Patch Tuesday mensuel, attribuant en partie cette hausse à l’utilisation de l’IA.

Ensemble, ces annonces confortent une inquiétude de longue date en cybersécurité : à mesure que les systèmes d’IA deviennent meilleurs pour détecter les défauts, les défenseurs peuvent découvrir davantage de vulnérabilités à un rythme plus rapide. Cela peut améliorer la sécurité lorsque les organisations corrigent rapidement, mais cela peut aussi révéler des faiblesses dans des produits jusque-là négligées et augmenter la quantité de travail requise des équipes de sécurité.

Le phénomène n’est pas uniforme parmi les grandes entreprises technologiques. Un décompte indépendant cité par TechCrunch a montré qu’Apple avait corrigé 482 bugs en 2026, ce qui le place à peu près sur la trajectoire pour égaler ou dépasser son total de l’année précédente. Apple n’a pas répondu à la demande de commentaire de la publication, et les éléments disponibles ne montrent pas si son usage interne de l’IA diffère de celui de Google ou de Microsoft.

Pour l’instant, la conclusion la plus solide est que certains grands fournisseurs de logiciels signalent une hausse importante des correctifs de sécurité parallèlement à un déploiement plus large d’outils d’IA. Il reste difficile de déterminer dans quelle mesure cette hausse reflète une capacité de découverte réellement nouvelle plutôt que des changements dans les processus d’ingénierie ou les pratiques de divulgation.

Pourquoi ces chiffres comptent pour les équipes navigateur et les équipes d’entreprise

Les navigateurs sont particulièrement exposés à ce changement parce qu’ils combinent une vaste surface d’attaque et des versions fréquentes. Chrome contient des composants complexes pour afficher des pages web, exécuter du code, gérer les médias, administrer les identifiants et se connecter aux services du système d’exploitation. Un outil capable de détecter un défaut subtil dans l’un de ces domaines peut aider Google à réduire le délai entre découverte et correction.

Pour les équipes produit et sécurité qui s’appuient sur Google Chrome, la conséquence immédiate est opérationnelle plutôt que théorique. Des correctifs plus fréquents peuvent exiger une validation plus rapide du navigateur, des processus de gestion des patchs plus stricts et des politiques plus claires pour distribuer les mises à jour sur les appareils des employés. Les entreprises qui retardent les mises à jour du navigateur peuvent faire face à un écart plus large entre la découverte d’une vulnérabilité et son déploiement sur le terrain.

La découverte de vulnérabilités assistée par IA crée aussi un problème de vérification. Les résultats générés automatiquement peuvent inclure des faux positifs, des doublons ou des failles difficiles à reproduire. Les modifications de code proposées doivent être revues et testées, en particulier lorsqu’un correctif de sécurité peut affecter les performances, la compatibilité ou d’autres contrôles de sécurité. Dans un navigateur utilisé par des millions de personnes, un mauvais correctif peut créer un nouveau mode de défaillance à grande échelle.

La pression concurrentielle s’étend aussi aux attaquants. Si les systèmes défensifs peuvent analyser le code et identifier les faiblesses plus rapidement, les chercheurs offensifs et les groupes criminels peuvent utiliser des capacités similaires pour examiner des logiciels publics, des extensions de navigateur, des applications et des infrastructures. Cette compétition pourrait rendre la vitesse de correction et le déploiement sécurisé aussi importants que la capacité brute à trouver des bugs.

Ce qu’il faut surveiller ensuite

Le prochain signal utile sera un supplément d’informations de Google sur sa méthode de mesure. Les équipes de sécurité et les chercheurs voudront savoir combien des 1.072 correctifs ont été découverts par l’IA, combien ont été proposés ou implémentés avec l’aide du modèle, et comment Google a mesuré le temps gagné.

Les futures données de publication de Chrome montreront aussi si juin était un pic inhabituel ou le début d’une hausse durable. Une comparaison plus large entre plusieurs navigateurs pourrait aider à distinguer les changements de processus propres à Google d’une tendance plus générale du secteur.

Les acheteurs d’entreprise devraient surveiller les changements de cadence des correctifs de Chrome, la fréquence des mises à jour d’urgence et les recommandations pour le déploiement automatisé. Ils devraient aussi évaluer si leurs propres outils de sécurité peuvent trier un volume plus important de remontées de vulnérabilités sans submerger les équipes d’ingénierie.

Enfin, des chercheurs indépendants pourraient examiner si la hausse du nombre de correctifs correspond à des taux d’exploitation plus faibles, à des délais de remédiation plus courts ou à moins de vulnérabilités graves atteignant les utilisateurs. Corriger davantage de bugs est une mesure opérationnelle importante, mais cela ne prouve pas à lui seul que le risque global a diminué.

Point de vue de Creati.ai

Les chiffres de Chrome publiés par Google rendent le débat sur la sécurité de l’IA plus concret. Le changement important n’est pas seulement qu’un modèle puisse localiser un bug ; c’est que l’IA peut compresser plusieurs étapes du cycle de vie de la sécurité, de la détection d’une faiblesse à la préparation d’un correctif. Cela pourrait donner aux éditeurs bien financés un avantage réel pour protéger des logiciels largement utilisés.

Mais cette même accélération accroît la valeur d’une revue rigoureuse. Si la découverte devient abondante, la priorisation, la validation et le déploiement deviennent les goulots d’étranglement. Pour les créateurs et les responsables de la sécurité d’entreprise, la question stratégique n’est pas tant de savoir s’il faut utiliser l’IA, mais si leurs systèmes d’ingénierie peuvent traiter en toute sécurité le volume qu’elle génère.