Google ускоряет выпуск обновлений Chrome для борьбы с ИИ-атаками

С 2023 года Google выпускает еженедельные обновления безопасности для Chrome, однако сейчас компания тестирует график выпусков дважды в неделю, чтобы противостоять «атакам с применением ИИ».

В опубликованном в четверг техническом документе (white paper) Google подробно описала использование больших языковых моделей (LLM) для ускорения поиска уязвимостей в ПО. Согласно отчету, число исправленных ошибок безопасности в стабильных версиях Chrome резко возросло в последние месяцы.

«На данный момент наши LLM генерируют варианты исправлений для большинства уязвимостей», — сообщает компания. «В последних двух этапах разработки, Chrome 149 и 150, мы исправили 1072 ошибки безопасности, что превышает общее количество исправлений за предыдущие 23 этапа вместе взятые», начиная с июня 2024 года.

Проблема заключается в том, что хакеры используют ИИ-модели для быстрого обнаружения и эксплуатации уязвимостей. Когда Google публично раскрывает информацию о бреши и выпускает патч, детали эксплуатации часто остаются размытыми. Тем не менее, сам факт публикации исправления может дать злоумышленникам достаточно подсказок для реверс-инжиниринга и эксплуатации бага до того, как патч будет установлен на устройства пользователей.

«Поскольку исправления, внесенные в основное дерево разработки, обычно доходят до стабильного канала Chrome (которым пользуется подавляющее большинство пользователей) в течение нескольких недель, минимизация этого временного разрыва является критически важной частью нашей стратегии», — добавили в Google.

В результате компания планирует увеличить частоту выпусков патчей. «Перед лицом стремительных атак с использованием ИИ наш темп выпуска обновлений должен еще больше ускориться. Чтобы соответствовать текущим вызовам, мы тестируем переход на два выпуска обновлений безопасности в неделю», — заявила компания, позже уточнив в интервью PCMag, что сейчас проект находится на стадии пилотного тестирования.

Ранее, в марте, компания объявила о переходе Chrome со стабильного четырехнедельного цикла обновлений на двухнедельный. Этот график для стабильных версий стартует в сентябре с Chrome 153.

Хотя увеличение частоты обновлений повышает защиту, это означает, что пользователям придется чаще перезапускать браузер. «Перезапуск может быть неудобен и редко является приоритетом для пользователя в данный момент. Чтобы устранить этот дискомфорт, мы разрабатываем способы переложить эту нагрузку с пользователя», — поясняет Google.

Один из методов, получивший название «динамическое патчирование», предполагает «на лету» замену фоновых процессов обновленными бинарными файлами, что устранит необходимость перезапуска Chrome. Другое направление — поиск «подходящих моментов для автоматического перезапуска» с последующим предложением восстановить сессию и все вкладки. «Например, в Chrome 150 мы внедрили изменение для macOS, где программы могут работать в фоновом режиме даже после закрытия всех окон. Теперь, если Chrome обнаруживает ожидающее обновление в таком состоянии «без окон», он автоматически перезапускается», — поясняет компания.

Google не сообщила, когда появится динамическое патчирование. «Наше долгосрочное видение — это браузер, который всегда актуален: непрерывно и динамически патчится и автоматически перезапускается в периоды минимального беспокойства пользователя», — отметили в компании. До внедрения этой функции пользователям рекомендуется обновлять Chrome вручную, нажимая на соответствующее уведомление в правом верхнем углу.