--- service: "Publicasta" schema_version: "1.0" article_id: 240 title: "AI w bezpieczeństwie Chrome ma znaczenie, bo to inżynieria, nie magia" language: "pl" default_language: "en" canonical_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=pl" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=pl" api_url: "https://publicasta.com/api/public/v1/channels/good_tech_news/articles/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=pl" channel_url: "https://publicasta.com/api/public/v1/channels/good_tech_news" channel_articles: "https://publicasta.com/api/public/v1/channels/good_tech_news/articles" search_url: "https://publicasta.com/api/public/v1/search" documentation_url: "https://publicasta.com/api-docs#reading-publicasta" openapi_url: "https://publicasta.com/api-docs/openapi.json" published_at: "2026-08-01T17:12:28+00:00" updated_at: "2026-08-01T17:12:28+00:00" translations: - language: "ar" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=ar" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=ar" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=ar" - language: "de" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=de" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=de" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=de" - language: "en" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=en" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=en" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=en" - language: "es" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=es" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=es" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=es" - language: "fr" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=fr" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=fr" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=fr" - language: "pl" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=pl" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=pl" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=pl" - language: "ru" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=ru" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=ru" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=ru" - language: "zh" html_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01?lang=zh" markdown_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.md?lang=zh" json_url: "https://publicasta.com/good_tech_news/chrome_ai_security_pipeline_1072_fixes_2026_08_01.json?lang=zh" --- # AI w bezpieczeństwie Chrome ma znaczenie, bo to inżynieria, nie magia > Google mówi o 1,072 security bugs w dwóch milestones Chrome. Ważniejszy jest ograniczony pipeline dla discovery, triage, tests i szybszych releases. Informacja Google o bezpieczeństwie Chrome jest dobra nie dlatego, że AI zastąpiło inżynierów. Jest dobra, bo pokazuje rozsądniejszy wzorzec: AI jako wzmacniacz procesu security w dojrzałym systemie inżynierskim. ![Pipeline bezpieczeństwa przeglądarki wspierany przez AI, code scanning i releases](https://publicasta.com/storage/projects/16/pages/240/2026/08/3e207dc4-ef14-443c-9a0d-486841ba240b.webp) 30 lipca Chrome Security Team podał, że w milestones 149 i 150 naprawiono 1,072 security bugs, więcej niż w poprzednich 23 milestones razem. Google twierdzi też, że Big Sleep i CodeMender działają co 24 godziny w Chrome CI, a w maju zablokowały ponad 20 vulnerabilities przed production, w tym critical S1+ issue. To konkret, ale nie pełny rachunek. Google nie podało liczby false positives, reverts, regressions, kosztu review ani zmian w staffing. Hacker News mocno to wypunktował: wątek miał 547 points i 576 comments. ## Co twierdzi Google To nie jest jednorazowa sztuczka z chatbotem. W 2023 Chrome używał LLMs do poprawy fuzzing coverage i performance. W 2024 Google pracowało z Project Zero nad Naptime. W 2025 DeepMind i Project Zero rozwijały Big Sleep do szukania bugs w V8 i graphics stack. W 2026 Chrome zbudował agent harness z Gemini dla szerszego codebase. Google podaje przykład sandbox escape, który przetrwał ponad 13 lat i mógł pozwolić compromised renderer na wymuszenie odczytu local files. System używa knowledge base z CVEs i historii git, SECURITY.md dla trust boundaries, critic agent i powtarzanych scanów. Najważniejsza jest struktura: wąskie zadania, dobry kontekst, CI, tests, review i ludzie na końcu. Nie autonomiczny model z pełną kontrolą. ## Dlaczego to ważne Security przeglądarki jest niewidoczne, dopóki nie zawiedzie. Chrome to codzienna infrastruktura. Jeśli discovery, triage, fixing i release działają szybciej, użytkownicy krócej są narażeni. Google chce też skrócić patch gap: czas między fixem widocznym w open source a wersją uruchomioną u użytkowników. Firma mówi o dwutygodniowym cadence dla milestones, weekly security updates, pilocie two security releases per week i dynamic patching, które w wielu przypadkach ma ograniczyć potrzebę pełnego restartu. Odkładany restart przeglądarki bywa oknem ataku. Skrócenie tego okna to realna poprawa. ## Sceptycyzm jest zdrowy HN pytał o brakujące liczby: ile fixes cofnięto, ile nowych bugs dodano, jaki był false positive rate i jaką część wyniku dało po prostu więcej ludzi oraz wyższy priorytet. To są właściwe pytania. Narzędzie generujące zbyt dużo szumu nie oszczędza czasu. Setki patches nie pomagają, jeśli część wprowadza regressions. Google opowiada też historię o własnych narzędziach AI, więc potrzebne będą niezależne sygnały: public CVEs, crash data, revert rates, opinie badaczy i exploit trends. ## Dlaczego AI pasuje do tego zadania Najgorsze historie o AI coding biorą się z szerokich zleceń. Security scanning jest węższy i łatwiejszy do sprawdzenia przez tests, reproducers, severity rules i code review. LLMs mogą działać jak inteligentne linters z dużym kontekstem. Śledzą dependencies, porównują z dawnymi CVEs, proponują tests, opisują ryzykowną granicę. Mogą też hallucinate i łatać objawy. Dlatego guardrails są kluczowe. Google pisze o analizie at rest na locked-down machines bez general internet access, allowlists dla network requests, braku unrestricted mode i subagents ograniczonych do source directories. To jest praktyczny wzorzec do skopiowania. ## C++ nadal boli Chrome to ogromny C++ codebase. Wiele problemów przeglądarek nadal dotyczy memory safety. Google wymienia MiraclePtr, MiracleObject, spanification, checked math, heap partitioning i Rust dla komponentów z dużą gęstością bugs. AI może znaleźć więcej unsafe patterns. Lepsza architektura może sprawić, że takie patterns rzadziej powstaną. Rozsądna droga to fuzzing, AI-assisted analysis i stopniowe przejście na safer primitives and languages. ## Lekcja dla innych Zacznij od zadań ograniczonych: security triage, duplicate detection, severity metadata, dependency tracing, test suggestions, crash analysis i candidate patch review. Daj modelowi własne CVEs, SECURITY.md, rules i znane false positives. Mierz także koszty: false positives, rejected reports, reverts, regressions, review time i czas od raportu do chronionych użytkowników. Dla enterprise IT wniosek jest prosty: szybkie vendor fixes działają tylko wtedy, gdy fleet naprawdę się aktualizuje. Dobra wiadomość nie brzmi: AI rozwiązało security. Dobra wiadomość brzmi: zespół chroniący krytyczną część web znalazł ograniczony i mierzalny sposób, aby przyspieszyć obronę.