Le chiffre qui compte est 1 072 : les bugs de securite corriges dans Chrome 149 et 150, les deux jalons que Google a livres en juin. Dans un billet du 30 juillet, 'Stronger with every update', l'equipe Chrome Security dit que cela depasse le total corrige sur les 23 jalons precedents combines, soit 1 036 bugs en deux ans selon le compte de TechCrunch. Le meme billet nomme l'employeur du trouveur : un harnais d'agents propulse par Gemini qui balaie l'ensemble du code de Chrome depuis le debut de l'annee, avec ce que Google appelle une meilleure efficacite et moins de faux positifs que ses predecesseurs.
La genealogie de ce harnais est la courte histoire de la chasse aux bugs par IA : les LLM pour booster le fuzzing en 2023, le projet Naptime avec Project Zero en 2024, Big Sleep avec Google DeepMind en 2025, et maintenant le harnais generaliste, qui travaille avec une base de connaissances de toutes les CVE passees et de tout l'historique Git de Chrome, des fichiers SECURITY.md pour les frontieres de confiance, un agent critique, et des passages repetes pour gerer le non-determinisme du modele. Son tableau de chasse inclut deja une echappee de bac a sable qui aurait permis a un moteur de rendu compromis de lire des fichiers locaux, un bug qui, selon les mots de Google, a tranquillement survecu dans le code pendant plus de 13 ans. Les garde-fous comptent pour un tel systeme, et Google dit que le code analyse reste au repos sur des machines verrouillees sans acces internet general, derriere des listes blanches reseau.
Les chiffres du pipeline montrent ce qui arrive quand trouver cesse d'etre la contrainte. Des mars, le Vulnerability Rewards Program avait deja recu plus de rapports que dans tout 2025, forcant Google a le redefinir pour n'accepter que les soumissions qui ajoutent aux trouvailles internes. Un triage automatise en quatre phases, filtrer le spam, reproduire les preuves de concept, enrichir les metadonnees de severite et assigner automatiquement, economise ce que Google estime a des centaines d'heures de developpeurs par mois. Big Sleep et CodeMender, le redacteur de correctifs, tournent desormais en CI toutes les 24 heures sur toutes les changelists, et en mai ils ont bloque plus de 20 vulnerabilites avant la production, dont une jugee critique. A l'autre bout, Chrome pilote deux versions de securite par semaine pour combler l'ecart de correctifs, avec mise a jour par redemarrage automatique sur macOS et un 'patching dynamique' en developpement.
Le cadre honnete vient des gens de Google eux-memes. Le directeur de l'ingenierie Chrome Doug Turner a dit a TechCrunch que les LLM ont 'fondamentalement deplace l'economie de la cybersecurite, transformant la decouverte de vulnerabilites en une operation automatisee a echelle industrielle', et la vice-presidente Parisa Tabriz a dit a WIRED que cette annee est 'un point d'inflexion a la fois pour l'attaque et la defense'. La moitie attaque de cette phrase est celle a retenir : la meme economie s'applique desormais a quiconque cherche les memes bugs avec de moins bonnes intentions, et c'est pourquoi la cadence de correctifs, pas le nombre de trouvailles, est le chiffre qui decide si les utilisateurs sont plus en securite. Le Patch Tuesday record de Microsoft en juillet avec 570 failles, lui aussi assiste par IA, et les 482 correctifs d'Apple cette annee sans pic disent que la courbe est reelle mais inegale. Les bugs ont toujours ete dans le code. Ce qui a change en juin, c'est que les trouver coute peu cher, et que les corriger est devenu le goulot d'etranglement que tout le monde peut voir.