Alisina NawabiGoogle dicht 1.072 beveiligingslekken in Chrome 149 en 150, meer dan in de 23 voorgaande versies samen, en schrijft die sprong op zijn bedrijfsblog toe aan AI-agents die de eigen code doorspitten.
Chrome en de Chromium-basis eronder draaien op vrijwel elke Nederlandse werkplek: in Chrome zelf, in Edge, in Brave en in de Electron-apps waarmee je vergadert of chat. Meer gevonden lekken betekent meer updates, en Google verhoogt tegelijk het tempo waarin die binnenkomen. Een browser die je één keer per maand meeneemt in een patchronde loopt daarmee structureel achter.
Wat er in twee releases gebeurde
Beide versies verschenen in juni. Daarvoor lag het aantal gedichte lekken per Chrome-versie jarenlang ergens tussen de tien en zestig. Bij versie 149 schiet die staaf naar ruim vijfhonderd. Over de 23 versies ervoor, samen goed voor ongeveer twee jaar aan releases, kwam de teller op 1.036 lekken uit.
Google zet meerdere systemen op die codebase. Big Sleep, gebouwd met DeepMind en Project Zero, vond fouten in de V8-JavaScript-engine en de grafische laag. Patch-agent CodeMender draait mee in de integratiestraat. Begin 2026 kwam daar een Gemini-agent bij die de bredere codebase afzoekt en minder valse meldingen oplevert. Eén ontdekte sandbox-ontsnapping zat al ruim dertien jaar in de code. In mei hield het proces meer dan twintig kwetsbaarheden tegen voordat ze productie bereikten, waaronder één kritieke.
Het is de uitkomst bij een belofte van tien dagen geleden. Toen bracht Google Gemini 3.5 Flash Cyber uit, dat in een test 55 bevestigde kwetsbaarheden in de V8-engine van Chrome vond tegen 36 voor Claude Opus 4.6. Dat model ging alleen naar overheden en vertrouwde partners. Chrome laat nu zien wat zulke agents doen als je ze op een echte, grote codebase loslaat.
Het getal is Googles eigen telling
Google publiceert geen uitsplitsing van hoeveel van de 1.072 lekken door AI zijn gevonden en hoeveel door menselijke onderzoekers of externe melders. Ook de vergelijking met de 23 voorgaande versies komt uit de eigen administratie en is niet onafhankelijk gecontroleerd.
Er speelt nog iets mee. Het bug-bountyprogramma van Chrome groeide hard: in maart 2026 had Google al meer beveiligingsmeldingen binnen dan in heel 2025. Een deel van de stijging komt dus van buiten. De grafiek van Google zelf laat wel zien dat de lijn van intern gevonden bugs pas vanaf versie 146 omhoog schiet, wat de eigen verklaring ondersteunt.
Wat het met je patchritme doet
De belangrijkste verandering staat verderop in dezelfde aankondiging. Chrome gaat naar tweewekelijkse hoofdversies met wekelijkse beveiligingsupdates, en Google test daarnaast een variant met twee beveiligingsreleases per week.
Daarmee verschuift de beheervraag van "wanneer is de volgende patchronde" naar "hoe zorg je dat een herstart ook echt gebeurt". Chrome heeft daar beleid voor: met RelaunchNotification dwing je een herstart af na een update, het Extended Stable-kanaal geeft je een rustiger ritme voor hoofdversies terwijl de beveiligingsfixes gewoon doorkomen, en de Chrome Enterprise-dashboards tonen welke versies er in je vloot draaien.
Dat sluit aan op de waarschuwing van het NCSC van vier dagen eerder, dat de tijd tussen een gepubliceerd lek en actief misbruik krimpt door AI. Een vaste maandcyclus past daar slecht bij, omdat een lek tegenwoordig binnen uren tot wapen wordt gemaakt.
Vinden is nog niet dichten
Chrome heeft een voordeel dat de meeste organisaties niet hebben: Google vindt de lekken in code die het zelf bezit, dus de weg van melding naar release is kort. Loopt die weg door een leverancier, dan stapelt hij op. Bij Microsoft legde Anthropics model Mythos in april alleen al 90 kritieke en 141 belangrijke lekken in SharePoint bloot, sneller dan Microsoft ze kon patchen.
De echte verschuiving zit daarom niet in het getal 1.072, maar in de frequentie eronder. Software die je dagelijks gebruikt gaat vaker en onregelmatiger updates uitsturen, en hoe snel je veilig bent bepaalt steeds vaker je leverancier. Wat je zelf in de hand houdt, is of die updates ook echt landen op de machines van je mensen.
Veelgestelde vragen
Updates die vanzelf landen
Wanneer je software wekelijks nieuwe beveiligingsupdates uitstuurt, wil je niet handmatig bijhouden wat waar draait. Ik denk mee over dat proces, ontwerp het en bouw de koppelingen en automatisering die het draaiend houden, self-hosted waar dat kan.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
