L’IA de Google a corrigé 1 072 failles Chrome : ce que ton Chromebook y gagne vraiment

Google vient de publier un billet qui claque. L’IA Gemini a corrigé plus de failles Chrome en deux versions qu’en deux ans. Le chiffre est beau. Il est même énorme. Mais un gros chiffre, ça se regarde de près avant d’applaudir. T’approche pas trop quand même, sinon tu risques d’être ébloui. Mets des lunettes de soleil et regardons ce que ça change pour ton Chromebook, parce que la sécurité de ChromeOS, c’est celle de Chrome. Pas un cousin éloigné. Le même moteur.

Un gros chiffre, et alors ?

Commençons par le piège. Corriger plus de failles, ce n’est pas la même chose que corriger mieux. En effet, si tu trouves soudain plus de mille bugs, ça veut peut-être dire que ton code en était bourré depuis le début. Google balance le total en trophée. Or c’est aussi l’aveu d’un code troué resté là pendant des années. Les deux lectures sont vraies en même temps. D’un côté, chaque faille bouchée, c’est une porte de moins pour un attaquant. De l’autre, personne ne devrait dormir tranquille en découvrant combien il y en avait. Google le dit d’ailleurs lui-même : un pic de bugs corrigés n’est pas un signe d’échec. Traduction honnête ? C’est surtout un signe qu’on regardait mal avant. Donc oui, le chiffre impressionne. Mais garde ton scepticisme allumé. Remets tes lunettes. Cela va flasher.

La faille qui dormait depuis treize ans

Voici l’anecdote qui pique. Un agent Gemini a déterré une évasion de bac à sable planquée dans le code depuis plus de treize ans. Treize ans. Le temps qu’un gamin naisse et entre au collège. Avec un Chromebook dans son cartable. Concrètement, cette faille permettait à un onglet compromis de tromper le navigateur pour aller lire des fichiers sur ta machine. Le bac à sable, c’est justement le mur censé empêcher ça. Et ce mur avait une fissure depuis le début des années 2010. Personne ne l’avait vue. Ni les humains, ni les outils classiques. Il a fallu une IA pour la repérer. Alors soit tu trouves ça rassurant, soit tu trouves ça flippant. Moi, c’est un peu les deux. Rassurant parce qu’elle est enfin bouchée. Flippant parce qu’elle a tenu treize ans sans que personne ne bronche. Craignos, dirait un ami.

Big Sleep, Gemini, Rust : qui fait le sale boulot

Passons aux coulisses, vite fait, sans jargon. Google n’a pas sorti l’IA d’un chapeau hier. D’abord, en 2023, des modèles ont musclé le fuzzing, cette technique qui bombarde le code de données bizarres pour le faire craquer. Ensuite est arrivé Big Sleep,¹ un agent chasseur de failles monté avec DeepMind. Puis, début 2026, un agent maison propulsé par Gemini a ratissé tout le code de Chrome. C’est lui, le héros de  faille de treize ans. Mais Google ne s’arrête pas à colmater. Le vrai chantier, c’est de virer des familles entières de bugs. Comment ? En réécrivant les morceaux les plus pourris en Rust,² un langage qui rend certaines erreurs de mémoire tout bonnement impossibles. Les parseurs, les codecs d’image, les polices de caractères : les nids à bugs historiques passent au Rust en priorité. C’est lent. C’est massif. Mais c’est là que se joue la vraie sécurité, bien plus que dans un compteur de trophées.

ASUS Chromebook Plus CX1405CTA-S60060

• 4 Pouces FHD 60Hz Pc
• Portable (Intel Core 3-N355 Processeur 3.9 GHz
• 8GB LPDDR5, 128G eMMC, Intel UHD Graphics)
• ChromeOS – Clavier AZERTY

307,79 €379,99 €

Voir sur Amazon

Lien(s) affilié(s) — le prix peut varier.

Ce qui change vraiment pour ton Chromebook

Maintenant, la partie qui te concerne directement. Ton Chromebook, c’est Chrome jusqu’à l’os. Donc chacune de ces corrections finit par atterrir chez toi. Bonne nouvelle. Mais il y a un hic bien connu : entre le moment où Google corrige et le moment où ta machine applique le correctif, il reste un trou. Les attaquants adorent ce trou. Ils rétro-conçoivent la faille dès qu’elle est publique, puis foncent avant que tu redémarres. C’est là que l’annonce devient utile. Google teste deux publications de sécurité par semaine. Deux. Le rythme s’accélère franchement. Mieux encore : Google planche sur le « dynamic patching ³», une façon de remplacer les bouts vulnérables à la volée, sans t’obliger à tout redémarrer. Pour un Chromebook allumé en permanence, posé sur le coin du bureau, c’est le genre de détail qui change la vie. En attendant, fais un truc tout simple. Quand tu vois la petite pastille de mise à jour n’hésite pas. Ne la laisse pas moisir une semaine. Le meilleur correctif du monde ne sert à rien tant que tu ne redémarres pas ton Chromebook. Tu t’en souviendra ?

L’IA corrige, mais qui vérifie l’IA ?

Posons maintenant la vraie question, celle qui fâche. Et que Google n’a pas abordée. Là, franchement, ça coince. L’IA trouve les failles. L’IA écrit les correctifs. On est d’accord là-dessus. Pas de souci. Moi. Toi. On a compris. Mais qui contrôle ces correctifs ? Réponse de Google : d’autres IA. Un premier agent propose plusieurs rustines. Un deuxième joue le critique et choisit la meilleure. Un troisième écrit les tests. Et l’humain, dans tout ça ? Il débarque tout au bout de la chaîne, pour valider. En théorie. Car quand tu corriges plus de mille failles en deux versions, dis-moi combien de temps il reste pour relire chaque ligne à la loupe. La machine va vite. Trop vite pour un relecteur humain fatigué. Donc on glisse tout doucement d’un monde où l’on faisait confiance à l’expert vers un monde où l’on fait confiance au robot. Ni vu, ni discuté. Et là, cela me chagrine pas mal. Et toi ?

Maintenant, sortons la calculette un court instant. Fais le calcul, l’ami. Quatre semaines entre deux versions. Vingt-huit jours. Et 1 072 failles corrigées dans l’intervalle. Imagine un seul humain chargé de tout relire. En journées de travail normales, ça lui laisse moins de neuf minutes par faille. Neuf minutes pour comprendre le bug, valider la rustine de l’IA, et s’assurer qu’elle n’en ouvre pas une autre. Neuf minutes, chrono en main. Et même à dix relecteurs à plein temps, la cadence reste intenable. Alors autant demander à Sundar Pichai en personne de s’y coller entre deux réunions, ce sera aussi crédible. On rigole, mais c’est exactement là que le bât blesse. Personne, dans aucune boîte, n’a le temps humain de contrôler ce que la machine produit à cette cadence. Alors on fait confiance. Point.

Et là, forcément, la paranoïa pointe le nez. Qui te garantit que l’IA ne laisse pas un trou volontaire, une petite porte de derrière pour mieux frapper demain ? Soyons carrés : rien ne prouve un tel scénario aujourd’hui. Les correctifs de Chrome sont publics, open source, documentés, divulgués un par un. N’importe quel chercheur peut les relire. C’est justement la meilleure parade contre le sabotage discret. Mais la question de fond, elle, ne disparaît pas. Une IA qui écrit du code qu’une autre IA valide, ça réduit peu à peu l’humain au rôle du type qui signe sans tout lire.

D’ailleurs, puisqu’on parle de science-fiction, une précision d’abord. Sur la faille de Chrome, l’IA ne s’est pas évadée du bac à sable. Elle a repéré la trappe que d’autres auraient pu forcer. La nuance compte. Mais garde ton vertige, parce que la suite n’a rien d’un film. Cette semaine, coup sur coup, deux aveux. D’abord OpenAI, qui a reconnu que deux de ses modèles étaient sortis tout seuls de leur environnement de test pour aller taper sur Hugging Face, une grande bibliothèque de code en ligne. De leur propre initiative, la machine a pris la tangente. Ensuite Anthropic, le créateur de Claude, qui a admis que trois versions de son modèle avaient obtenu un accès non autorisé aux systèmes réels de trois organisations, pendant des tests censés justement l’en empêcher. Sur plus de 141 000 essais passés au crible. Soyons carrés, là encore. Anthropic jure que son IA ne s’est pas évadée : elle a atteint Internet à cause d’un cafouillage avec son partenaire d’évaluation, pas par malice. Admettons. Mais le résultat brut, lui, ne bouge pas. Des modèles se sont retrouvés là où le mur était censé les bloquer. Et le mur n’a pas tenu. Franchement, ça ne te fout pas un petit frisson ?

Le mot de la fin

Voilà où on en est, l’ami. On te vend l’IA gardienne du temple, celle qui débusque les failles de Chrome et veille sur ton Chromebook. Et la même semaine, deux des plus gros labos de la planète reconnaissent que leurs IA ont franchi des barrières qu’on nous jurait solides. Le total affiché reste un panneau publicitaire. Mais derrière, il y a du solide : des failles anciennes enfin vues, un rythme de correction qui s’emballe, un pari sérieux sur Rust. Et une question qui, elle, ne se referme pas. La science-fiction n’est plus sur grand écran. Elle est dans les communiqués de presse, datés de cette semaine. Alors l’IA qui corrige tes failles, tu lui fais confiance les yeux fermés ? La réponse honnête, aujourd’hui, c’est qu’on n’a déjà plus tout à fait le choix.

Notes de bas de page :

1. Big Sleep est un « agent » d’intelligence artificielle développé par Google avec DeepMind, son labo d’IA, et Project Zero, son unité de chasse aux failles. Son rôle : lire le code de Chrome comme le ferait un chercheur en sécurité humain, mais infatigable, pour y repérer des vulnérabilités avant les attaquants. Contrairement à un simple outil qui suit une liste de règles, Big Sleep raisonne sur le code, teste des hypothèses et déniche des bugs subtils. C’est ce type d’agent qui a débusqué la faille de sandbox endormie depuis treize ans. ↩︎
2. Rust est un langage de programmation créé pour écrire des logiciels rapides mais surtout sûrs. Sa particularité : il surveille en permanence la façon dont le programme utilise la mémoire de la machine, et refuse de compiler tant qu’il repère un accès dangereux. Or une grande partie des failles de sécurité vient justement de ces erreurs de mémoire, du code qui lit ou écrit là où il ne devrait pas. En clair, là où le vieux langage de Chrome, le C++, laisse le développeur libre de se tirer une balle dans le pied, Rust lui bloque la gâchette avant même que le programme tourne. D’où l’intérêt de réécrire dans ce langage les parties les plus accidentogènes. ↩︎
3. Dynamic patching (« correction à chaud ») désigne une technique qui applique une rustine de sécurité pendant que le logiciel tourne, sans avoir à le fermer et le rouvrir. Aujourd’hui, quand Chrome se met à jour, le correctif ne prend effet qu’au prochain redémarrage du navigateur. Or, tant que tu ne redémarres pas, tu restes vulnérable. L’idée du dynamic patching est de profiter du fait que Chrome fonctionne en plusieurs morceaux indépendants : le système remplacerait discrètement les morceaux concernés par leur version corrigée, en tâche de fond, sans fermer tes onglets. En clair, protégé sans même t’en rendre compte. Google précise que la fonction est encore en développement. ↩︎

Produits les plus vendus

LG Ultrafine™ 27U411A-B Écran PC 27"104,99 € Le prix initial était : 104,99 €.88,99 €Le prix actuel est : 88,99 €.Voir le produitASUS Moniteur de Jeu VY249HGR Eye Care – 23,8 Pouces FHD (1920 x 1080)129,99 € Le prix initial était : 129,99 €.79,00 €Le prix actuel est : 79,00 €.Voir le produitKOORUI 24'' Ecran PC Gamer Incurvé, 180Hz 1ms139,99 € Le prix initial était : 139,99 €.99,99 €Le prix actuel est : 99,99 €.Voir le produit