Chrome : 1 072 failles corrigées avec des agents IA, ce que dit vraiment le chiffre
Google annonce 1 072 bugs de sécurité corrigés sur deux versions de Chrome. Le décompte des CVE publiés confirme l'ordre de grandeur, mais pas le raccourci de la presse.
Le 30 juillet 2026, l'équipe de sécurité de Chrome a publié le billet « Stronger with every update » sur `blog.google`. Une phrase en a été extraite partout depuis : sur les deux derniers jalons, Chrome 149 et Chrome 150, Google dit avoir corrigé 1 072 bugs de sécurité, davantage que le total des 23 jalons précédents réunis.
Le chiffre est vrai et il est vérifiable. Les formulations qui l'accompagnent le sont moins. Google n'écrit nulle part que l'IA a « détecté et corrigé » ces 1 072 failles, ne parle jamais de « 60 jours » et ne donne aucun pourcentage de correctifs réellement écrits par un agent.
Ce que Google a écrit, et ce qu'il n'a pas écrit
Deux précisions manquent dans la plupart des reprises. D'abord la fenêtre : Google raisonne en jalons, pas en jours. D'après le calendrier officiel de Chromium, Chrome 149 est passé en canal stable le 2 juin 2026, Chrome 150 le 30 juin et Chrome 151 le 28 juillet. Les deux jalons couvrent 56 jours entre deux versions stables, et le nombre rond de 60 jours n'apparaît nulle part chez Google.
Ensuite l'antériorité des bugs. Les notes de version donnent la date de signalement de chaque faille : sur les 1 082 entrées, 970 ont été signalées entre mars et mai 2026. Le pic de juin et juillet solde un travail de découverte étalé sur le printemps.
À ce stade, nous avons des modèles de langage qui génèrent des correctifs candidats pour la plupart des vulnérabilités, ce qui augmente considérablement le rythme des correctifs de sécurité dans les versions récentes de Chrome.Chrome Security Team, blog.google, 30 juillet 2026, traduit de l'anglais
Plus de 1 000 correctifs plus tard (dont un bug adolescent !), voici comment @googlechrome utilise l'IA sur tout le cycle de vie d'un bug logiciel pour rendre le web plus sûr pour des milliards de personnes : https://blog.google/security/chrome-stronger-with-every-update/ 🔎🪰✨Voir le post sur X
Le « bug adolescent » évoqué par la responsable de Chrome est une évasion de bac à sable qui permettait de faire lire des fichiers locaux au navigateur. Selon le billet, elle avait survécu plus de 13 ans dans le code. C'est le premier agent bâti sur Gemini, déployé début 2026 sur l'ensemble du code de Chrome, qui l'a trouvée.
Détecter, corriger, fusionner : trois opérations différentes
Le graphique publié par Google ne distingue que deux séries : le total de bugs corrigés par jalon, et la part trouvée en interne. Jamais ce qui a été trouvé par un agent, par du fuzzing ou par un ingénieur.
Côté correction, le billet décrit un enchaînement d'agents : un agent produit plusieurs correctifs candidats, un agent critique choisit le meilleur, les deux tournent en boucle pour imiter une revue de code, des agents de test écrivent les tests. La phrase qui clôt la séquence est capitale : ce travail se fait « avant qu'un développeur ne relise le correctif ».
1 072 est un compte de bugs corrigés et livrés, pas de bugs trouvés par une IA ni de correctifs écrits par une IA. Google écrit « pour la plupart des vulnérabilités » sans donner de pourcentage, ne publie aucun taux d'acceptation des correctifs proposés par ses agents, et ne sépare pas, dans les trouvailles internes, l'agent du fuzzing ou de l'humain. Une hausse du nombre de correctifs ne veut pas dire non plus que Chrome était plus vulnérable : Google le formule lui-même en écrivant qu'un bug trouvé et corrigé est un point d'appui de moins pour un attaquant.
Quelles failles de Chrome ont été corrigées, et à quelle gravité ?
C'est le point que la source primaire ne traite pas. Chaque billet « Stable Channel Update for Desktop » liste les CVE corrigés avec leur gravité. En agrégeant ceux des branches 149 et 150, on obtient 1 082 CVE, contre 1 072 annoncés. L'écart de dix tient à la date d'arrêté du décompte ou à la méthode, un bug ne donnant pas toujours lieu à un CVE distinct.
La répartition par gravité, elle, n'a été publiée nulle part :
| Gravité | CVE sur Chrome 149 et 150 | Part |
|---|---|---|
| Critical | 82 | 7,6 % |
| High | 350 | 32,3 % |
| Medium | 417 | 38,5 % |
| Low | 233 | 21,5 % |
Six failles sur dix sont donc de gravité moyenne ou faible. Ce n'est pas une critique de l'exercice, c'est une correction d'échelle. Le même décompte appliqué aux 23 jalons précédents, de Chrome 126 à Chrome 148, donne 952 CVE : la comparaison mise en avant par Google tient, mais de peu.
Qui a trouvé ces 1 072 bugs ?
Sur les 1 082 entrées, 978 portent la mention « Reported by Google », soit 90,4 %, et 104 seulement viennent de chercheurs externes. Côté primes, 54 CVE ont été récompensés, pour 591 000 $ au total et un maximum de 250 000 $ sur une seule faille.
Deux détails méritent d'être relevés.
- Big Sleep a disparu des crédits. L'agent de découverte de vulnérabilités de Google DeepMind et Project Zero était nommément crédité dans treize correctifs Chrome entre août et novembre 2025, sur ANGLE et sur le moteur V8. Dans les notes de Chrome 149 et 150, son nom n'apparaît plus une seule fois : tout est agrégé sous « Google ». Sa contribution réelle devient donc invisible de l'extérieur.
- Un concurrent figure au tableau. Deux failles hautes de V8, CVE-2026-14431 et CVE-2026-15903, sont créditées à « OpenAI Codex Security ».
Le billet précise aussi que dès mars 2026, Google recevait plus de signalements externes que sur toute l'année 2025, et a recentré son programme de primes sur les rapports additifs par rapport à ce qu'il trouve déjà en interne.
Après les agents qui attaquent, les agents qui défendent
Depuis un mois, l'actualité des agents IA en sécurité est une suite d'incidents à charge : un agent d'OpenAI sorti de son bac à sable pour attaquer Hugging Face, une attaque agent contre agent visant le dépôt ADK de Google, des actions hors périmètre pendant les évaluations cyber britanniques. Le billet de Chrome est le premier chiffrage sérieux du camp d'en face, à l'échelle industrielle.
La suite se lit dans le calendrier de livraison plus que dans le compteur de bugs. Google passe ses jalons majeurs à une cadence de deux semaines, teste deux publications de sécurité par semaine et travaille sur un correctif dynamique qui éviterait le redémarrage complet du navigateur. Chrome 151, passé en canal stable le 28 juillet, affiche déjà 370 CVE dans sa seule note de version initiale.
Redémarrez Chrome dès que la pastille de mise à jour apparaît en haut à droite. Tant que le navigateur n'a pas redémarré, le correctif est téléchargé mais pas appliqué, alors que le code de la faille, lui, est déjà public.
Questions fréquentes
Quelles failles de sécurité de Chrome ont été corrigées en 2026 ?
Les notes de version publiques listent 1 082 CVE pour les seuls jalons Chrome 149 et 150, dont 82 critiques et 350 de gravité haute.
L'IA de Google a-t-elle corrigé 1 072 failles toute seule ?
Non. Google écrit que des modèles de langage génèrent des correctifs candidats « pour la plupart des vulnérabilités », qu'un agent critique les évalue et qu'un développeur relit ensuite. Aucun pourcentage de correctifs écrits ou fusionnés par une IA n'est publié.
Qu'est-ce que Big Sleep ?
L'agent de découverte de vulnérabilités de Google DeepMind et Project Zero, crédité nommément dans treize correctifs Chrome entre août et novembre 2025. Son nom n'apparaît plus dans les notes de Chrome 149 et 150.
Quels sont les risques de sécurité liés aux agents IA ?
Les mêmes capacités servent à défendre et à attaquer. Nos dossiers sur l'attaque agent contre agent chez Google et sur les évaluations cyber de l'UK AISI détaillent ces scénarios.
