Le chiffre qui compte est 1 072 : les bugs de sécurité corrigés dans Chrome 149 et 150, les deux jalons que Google a livrés en juin. Dans un billet du 30 juillet, 'Stronger with every update', l'équipe Chrome Security dit que cela dépasse le total corrigé sur les 23 jalons précédents combinés, soit 1 036 bugs en deux ans selon le compte de TechCrunch. Le même billet nomme l'employeur du trouveur : un harnais d'agents propulsé par Gemini qui balaie l'ensemble du code de Chrome depuis le début de l'année, avec ce que Google appelle une meilleure efficacité et moins de faux positifs que ses prédécesseurs.

La généalogie de ce harnais est la courte histoire de la chasse aux bugs par IA : les LLM pour booster le fuzzing en 2023, le projet Naptime avec Project Zero en 2024, Big Sleep avec Google DeepMind en 2025, et maintenant le harnais généraliste, qui travaille avec une base de connaissances de toutes les CVE passées et de tout l'historique Git de Chrome, des fichiers SECURITY.md pour les frontières de confiance, un agent critique, et des passages répétés pour gérer le non-déterminisme du modèle. Son tableau de chasse inclut déjà une échappée de bac à sable qui aurait permis à un moteur de rendu compromis de lire des fichiers locaux, un bug qui, selon les mots de Google, a tranquillement survécu dans le code pendant plus de 13 ans. Les garde-fous comptent pour un tel système, et Google dit que le code analysé reste au repos sur des machines verrouillées sans accès internet général, derrière des listes blanches réseau.

Les chiffres du pipeline montrent ce qui arrive quand trouver cesse d'être la contrainte. Dès mars, le Vulnerability Rewards Program avait déjà reçu plus de rapports que dans tout 2025, forçant Google à le redéfinir pour n'accepter que les soumissions qui ajoutent aux trouvailles internes. Un triage automatisé en quatre phases, filtrer le spam, reproduire les preuves de concept, enrichir les métadonnées de sévérité et assigner automatiquement, économise ce que Google estime à des centaines d'heures de développeurs par mois. Big Sleep et CodeMender, le rédacteur de correctifs, tournent désormais en CI toutes les 24 heures sur toutes les changelists, et en mai ils ont bloqué plus de 20 vulnérabilités avant la production, dont une jugée critique. À l'autre bout, Chrome pilote deux versions de sécurité par semaine pour combler l'écart de correctifs, avec mise à jour par redémarrage automatique sur macOS et un 'patching dynamique' en développement.

Le cadre honnête vient des gens de Google eux-mêmes. Le directeur de l'ingénierie Chrome Doug Turner a dit à TechCrunch que les LLM ont 'fondamentalement déplacé l'économie de la cybersécurité, transformant la découverte de vulnérabilités en une opération automatisée à échelle industrielle', et la vice-présidente Parisa Tabriz a dit à WIRED que cette année est 'un point d'inflexion à la fois pour l'attaque et la défense'. La moitié attaque de cette phrase est celle à retenir : la même économie s'applique désormais à quiconque cherche les mêmes bugs avec de moins bonnes intentions, et c'est pourquoi la cadence de correctifs, pas le nombre de trouvailles, est le chiffre qui décide si les utilisateurs sont plus en sécurité. Le Patch Tuesday record de Microsoft en juillet avec 570 failles, lui aussi assisté par IA, et les 482 correctifs d'Apple cette année sans pic disent que la courbe est réelle mais inégale. Les bugs ont toujours été dans le code. Ce qui a changé en juin, c'est que les trouver coûte peu cher, et que les corriger est devenu le goulot d'étranglement que tout le monde peut voir.