Die Zahl: „In den letzten zwei Meilensteinen, Chrome 149 und 150, haben wir 1072 Sicherheitsfehler behoben“, schreibt das Chrome-Security-Team – mehr als die Summe der 23 vorangegangenen Meilensteine. BleepingComputer gibt dieselbe Angabe unabhängig wieder. Google nennt außerdem einen Monatswert: Im Mai seien über 20 Schwachstellen vor der Auslieferung abgefangen worden, darunter ein als kritisch eingestuftes S1+-Problem.
Die Werkzeugkette: Am Anfang steht Big Sleep, der mit Google DeepMind und Project Zero entwickelte Agent, der Fehler unter anderem in Chromes JavaScript-Engine V8 und in Grafikkomponenten fand; Vorläufer war das System Naptime, das Modellen spezialisierte Werkzeuge für Schwachstellenforschung an die Hand gab. Anfang 2026 kam ein Gemini-gestützter Agent hinzu, der die breitere Codebasis durchsucht und dabei die Zahl der Fehlalarme drücken soll. Die Triage – früher fünf bis über dreißig Minuten Handarbeit je Meldung – läuft ebenfalls modellgestützt, und für die Behebung setzt Google den Agenten CodeMender ein, der bei uns schon als Zugangsweg zum Spezialmodell Gemini 3.5 Flash Cyber auftauchte.
Die Folgewirkung auf die externe Forschung: Bis März 2026 hatte Google nach eigenen Angaben mehr Sicherheitsmeldungen erhalten als im gesamten Jahr 2025. Als Reaktion wurde das Vulnerability Reward Program so umgebaut, dass es Meldungen bevorzugt, die über das hinausgehen, was die automatisierten Werkzeuge ohnehin schon finden und abarbeiten. Für Bug-Bounty-Jäger heißt das: Die Klasse der einfach auffindbaren Speicherfehler ist als Erwerbsquelle im Begriff zu verschwinden.
Einordnung mit Gegenprobe: Die Zahlen stammen ausschließlich aus Googles eigener Darstellung und sind unabhängig nicht nachgezählt worden. SecurityWeek hat den Anstieg über die Sicherheitshinweise der einzelnen Chrome-Updates nachvollzogen – von 16 beziehungsweise 21 Schwachstellen Mitte und Ende April auf 100 in der Mitteilung vom 5. Mai – und schreibt den Sprung KI zu, ausdrücklich als Vermutung. Was in keiner der Quellen steht: ob mehr behobene Fehler zu weniger erfolgreichen Angriffen führen. Genau diese Lücke zwischen Fundzahl und Sicherheitsgewinn ist der Punkt, an dem die Meldung als Anbieter-Selbstauskunft zu lesen ist.