Google dicht 213 bugs in Chrome, weer veel meer dan gemiddeld

Google heeft opnieuw een groot aantal bugs in Chrome gerepareerd. In Chrome 157 repareerde het bedrijf 213 bugs, waarvan zeven als Kritiek worden geclassificeerd. Voor zover bekend worden er geen bugs actief misbruikt.

De bugfixes zitten in Chrome 157.0.8103.38/.39 voor Windows en macOS en 157.0.8103.38 voor Linux, schrijft Google. Het bedrijf heeft een lijst online gezet met alle bugfixes. In totaal repareert Google 213 bugs. Dat is een daling ten opzichte van nog maar enkele weken geleden. In juli repareerde Google in twee Chrome-versies plotseling honderden bugs.

Zeven bugs hebben een kritieke CVSS-score. Het gaat onder andere om twee buffer overflows in WebGPU-implementatie Dawn en meerdere use after free-bugs. De meeste kritieke bugs werden door externe onderzoekers gevonden.

Bij slechts één bug staat dat die gevonden is 'met hulp van Claude', maar dat is een bug die door een onderzoeker van Anthropic is gevonden. In werkelijkheid ligt het aantal bugs dat deels met AI gevonden is waarschijnlijk veel hoger.

AI zorgt al langer voor veel meer bugfixes

Het aantal bugfixes in Chrome ligt in november veel hoger dan nog geen half jaar geleden. Meestal schommelde het aantal bugfixes in Chrome tussen de tien en de dertig, maar sinds halverwege dit jaar stijgt het aantal gevonden en gerepareerde bugs sterk.

Dat komt met name door kunstmatige intelligentie. Beveiligingsonderzoekers zetten die sneller en efficiënter in om bugs te vinden. Google gebruikt AI zelf dan ook weer voor bugfixes. Het bedrijf zet AI vooral in om binnenkomende meldingen te triëren.

Reacties (21)

[himlims_]

het is een periode waar 'we' doorheen moeten; al die vice/ai-scans en hacks en exploids.
in theorie houden we daar een degelijker en veiliger software landschap aan over ...

[Ricco02]

Waaruit blijkt dat het een periode is?

Ik denk dat de hoeveelheid bug/security fixes voortaan zo hoog blijven. Aangezien kwaadaardigen met de modellen ook sneller en complexere aanvallen kunnen uitvoeren, die vervolgens allemaal gefixt moeten gaan worden.

[Afvalzak]

Als dit soort AI checks zich steeds meer in deployment (en development) pipelines gaan nestelen dan kan je het uitrollen van deze bugs beperken.

[LOTG]

Dus je gaat er van uit dat Chrome momenteel geen AI in de devops pipelines gebruikt om bugs te vinden? Dat lees ik namelijk nergens.

[Jedotw]

In mijn organisatie is in één van de ART's (Agile Release Trains) testen grotendeels vervangen door AI. Laten we zo zeggen dat specifieke functionaliteit vaak wel goed getest wordt, maar de gehele keten niet...

[Powerblast]

Je gaat er dan wel vanuit dat AI perfecte code schrijft. Dat is zeker als het op security aankomt nog niet het geval. Moest dat ooit het geval worden, dan stoppen de hacks ook natuurlijk, want dan is alle software waterdicht en heeft het geen nut meer om met AI hacks te gaan uitvoeren.

[LOTG]

Ik denk het niet, waarom zijn er anders nu pas 7 kritieke issues gefixed?

Ik denk dat @Ricco02 gelijk heeft en dat dit zo blijft, net zo als het altijd al geweest is.
Arms race.

Anders zouden we ook verwachten dat software die AI geschreven heeft nu dus 100% veilig zou moeten zijn en geen bugs of exploits heeft.

[HSG]

AI gaat al het programmeerwerk overnemen.

[fruitbakje]

Citation needed.

Als je met AI bugs 'naderhand' (nadat je je software hebt gepubliceerd) eruit kan halen, waarom zou je die er dan niet al uit kunnen halen vóórdat je je software publiceert...?

[Henk1827]

Precies wat @3d-pint zegt. Een LLMs is zo goed in programmeren om het je het ge-RF-ed is met een compiler en tests voor werkende code. Werkende code kan gewoon vol met bugs en security issues zitten, een LLM is daar niet perse goed in.

Een beetje flauw om gelijk om citaten te roepen, maar vooruit: https://tech-insider.org/ie/ai-code-quality-crisis-2026/

Anekdotisch kan ik je als software dev ook vertellen dat Opus 5.5 doodleuk de domste bugs introduceert.

[fruitbakje]

Ook niet bij het Chrome team van Google, een behoorlijk belangrijk stukje software denk ik? Want daar hebben we het in deze discussie over he.

[Powerblast]

Het verbaast me altijd dat een stuk code dat met AI gemaakt is vaak eenvoudige fouten bevat, zoals matige buffer checks (als uberhaupt aanwezig), memory en resource leaks, return values/foutmeldingen niet goed afhandelen etc.

Dat is op zich eenvoudig te verklaren volgens mij. Het grootste deel is AI getrained op code waarbij dergelijke safety checks überhaupt al niet aanwezig waren. Het neemt die stijl van programmeren dus gewoon over als het nieuwe normaal.

Dat merk ik zelf ook als naar voorbeelden op zoek ga. Die nemen regelmatig shortcuts, omdat die safety checks niet relevant zijn voor het voorbeeld dat ze proberen uit te leggen. Maar daar zijn ze of niet relevant omdat het een voorbeeld is, of geen issue omdat het x of y als situatie is. Dat wordt echter anders eens je er productie code van wil maken.

Een mens snapt dat een tutorial daarom niet alles bevat wat je moet hebben. Ik weet alleen niet of AI dat ook al doet. Zeker als het op security check aankomt, moet je erg specifiek prompten wat je wil, of het laat gewoon zaken weg.

[TheToolGuy]

Ik ben ook een zogenaamde "vibe coder", ik bedenk iets, laat AI erop los, bekijk en test het ...
( Uiteraard wel eerst aangegeven hoe er geprogrammeerd moet worden etc... "Stijl" )

Ik laat mijn code in "Rust" bouwen door AI en vervolgens grondig testen, ook door AI.
Daarna haal ik de code binnen, lees het en kijk of er nog wat verbeterd kan/moet worden ...
Vervolgens laat ik de AI nog eens met de stofkam er doorheen gaan en nogmaals grondig testen.
Daarna compileer ik het pas en probeer het in een test omgeving ...
Klopt er dan nog iets niet van wat ik verwacht, beschrijf ik dat extra, laat AI er weerop los (die ondertussen onthouden heeft hoe ik te werk ga.) en test het weer.

En herhaal dat net zolang tot ik tevreden ben met wat de AI in elkaar heeft gezet en het voldoet aan mijn verwachtingen ...

[BHStar]

Bij slechts één bug staat dat die gevonden is 'met hulp van Claude', maar dat is een bug die door een onderzoeker van Anthropic is gevonden. In werkelijkheid ligt het aantal bugs dat deels met AI gevonden is waarschijnlijk veel hoger.

Dat hoeft elkaar ook niet uit te sluiten toch? Er zijn zat manieren om met AI een bug te vinden zonder dat het met behulp van Claude is.

Het blijft interessant om te zien hoe AI zowel ingezet wordt om te hacken als om IT-security te verbeteren.

[minimaLL]

Dat is zoals in het sporten toch: (qua timing) zit de verdediger/defensie toch meestal n het nadeel t.o.v. de aanvaller. Actie/reactie.

[Alfa1970]

De vraag is in hoeverre het IT-security verbetert? Men zou moeten bestuderen hoeveel van de ontdekte bugs ook zijn veroorzaakt door het gebruik van AI.

Want die AI modellen, ook de nieuwste modellen blijven code produceren die gaten bevat, met dezelfde optimistische zekerheid als dat ze bugs "ontdekken".

[hqql]

Beoordeling 0: Off-topic

Al zouden ze 213.000 bugs dichten ik hou het lekker bij FireFox

[bassekeNL]

Ik hoop dat firefox de huidige wedloop kan bijhouden. Anders kan het wel eens te onveilig worden.

[Thijs_Rallye]

Ik zag gisteravond 2 russische paspoorten liggen bij de vriesafdeling van de Jumbo. Komt wel dichtbij nu.