Voici comment Google accélère la stratégie de patch de Chrome pour bloquer les attaques par IA sur votre navigateur Alors que des mises à jour plus fréquentes et plus dynamiques des navigateurs sont en cours de préparation, Google dévoile en exclusivité à ZDNET ses plans de défense. © NurPhoto / Contributor via Getty Images Les points clés à retenir sur la stratégie de patch de Google pour Chrome Google passe à un cycle de mise à jour de deux semaines pour Chrome afin de réduire le délai de correction des failles. Ce changement fait suite à l’émergence d’acteurs malveillants utilisant l’IA. Google réfléchit à des moyens d’appliquer dynamiquement des correctifs à Chrome sans nécessiter le redémarrage du navigateur. Comme l’a montré une récente vague d’attaques menées par l’IA, nous entrons désormais dans une nouvelle ère périlleuse en matière de cybersécurité. Les derniers LLM développés par diverses entreprises pionnières dans le domaine de l’IA (OpenAI, Anthropic, etc.) se sont révélés dotés de capacités cybernétiques extrêmement puissantes. Des capacités précieuses tant pour les pirates que pour les experts en cybersécurité chargés de les contrer. Parmi ces capacités cybernétiques figure la possibilité de découvrir et d’exploiter, en quelques heures ou quelques jours, le même type de vulnérabilités qui nécessitaient auparavant des semaines, voire des mois, de travail. Pire encore : dans la mesure où une étape d’ingénierie sociale fait partie du processus d’attaque d’un acteur malveillant, l’IA agentique peut désormais être exploitée pour déployer à grande échelle une forme de hameçonnage particulièrement pernicieuse et hautement personnalisée, connue sous le nom de « spearphishing ». Avant que l’IA agentique dotée de capacités cybernétiques avancées ne devienne accessible et abordable pour les acteurs malveillants, le spearphishing était souvent considéré comme trop gourmand en ressources. Ce n’est plus le cas aujourd’hui. Face à ce nouveau niveau de menace, les principaux éditeurs de logiciels de tous horizons (applications mobiles, logiciels de bureau, systèmes d’exploitation, etc.) n’ont d’autre choix que de repenser la manière de réduire, voire de combler ce que l’on appelle le « délai de correction ». Ce fossé correspond au laps de temps propice entre la divulgation publique d’une vulnérabilité et le moment où les systèmes sont, grâce à un correctif de sécurité, immunisés contre les exploits tirant parti de cette vulnérabilité. Mais les organisations ne peuvent pas se permettre de répondre à une attaque capable de se dérouler en quelques minutes avec des processus de défense qui prennent des jours. L’expression « course à l’armement en matière de cybersécurité » n’a peut-être donc jamais été aussi pertinente pour saisir l’essence de la bataille à laquelle les défenseurs sont désormais confrontés face à des adversaires bien équipés. Et l’entreprise a réduit cette fenêtre d’opportunité en annonçant la semaine dernière que les versions de bureau et mobile de son navigateur web Chrome étaient désormais soumises à un cycle de mise à jour de deux semaines. Avant ce changement, Chrome suivait un cycle de mise à jour de quatre semaines, avec des mises à jour de sécurité d’urgence en cours de cycle publiées selon les besoins. « Réduire le délai entre l'intégration d'un correctif dans le code source public et sa mise à disposition des utilisateurs finaux permet de limiter au maximum le délai de « N jours » entre la divulgation d'une vulnérabilité et la mise à disposition d'un correctif, ce qui nous aide à nous protéger contre les menaces qui évoluent rapidement » indique Google à ce propos. L’expression « N-day » fait référence au problème posé par le fait qu’il peut s’écouler un nombre indéterminé de jours entre le moment où une vulnérabilité est rendue publique et celui où un système (sans parler de l’ensemble des utilisateurs d’un produit populaire comme Chrome) est corrigé pour cette vulnérabilité. La question de l'application des patchs par les utilisateurs Pour être clair, les éditeurs de logiciels ne font pas grand cas, en public, de la découverte d’une vulnérabilité. Mais dans le cas d’un logiciel comme Chrome, dont le code source open source Chromium évolue quotidiennement, les acteurs malveillants examinent chaque modification proposée à la recherche d’indices de nouvelles possibilités d’exploitation. À ce stade, la course est lancée et, en réduisant le cycle de mise à jour de Chrome de quatre à deux semaines, Google cherche à ramener « N » (le plus long des deux) de 28 à 14 jours. Il subsiste toutefois un problème qui échappe au contrôle de tout éditeur de logiciels. C’est une chose pour un éditeur de publier un correctif. C’en est une autre pour l’utilisateur de l’appliquer. Les éditeurs de logiciels peuvent tout mettre en œuvre pour réduire « N ». Mais, pour diverses raisons, « N » peut s’étendre sur des mois, voire des années (si l’on considère les bornes interactives laissées sans surveillance) si le propriétaire d’un système ne tient pas compte des notifications insistantes l’invitant à mettre à jour son système. Trouver le juste équilibre entre sécurité et lassitude face aux correctifs En prenant Chrome comme exemple, nous avons interrogé Ben Mason, de Google, sur les détails de ce nouveau cycle de mise à jour et sur la manière dont Google envisage son fonctionnement tant pour les utilisateurs que pour les entreprises. Ses réponses constituent non seulement une excellente source de réflexion pour tout responsable de la sécurité, mais aussi une sorte de feuille de route sur la manière dont les éditeurs de logiciels doivent repenser leurs stratégies pour protéger leurs clients contre les acteurs malveillants utilisant l’IA. Le point de vue de Ben Mason (Google) sur nouvelle la stratégie de patch de Chrome 1. La course contre la montre face à l'IA (Les failles "N-day") ZDNET : Les acteurs malveillants utilisent de plus en plus l'IA pour repérer les correctifs open source et attaquer les systèmes non mis à jour (failles N-day) en quelques minutes. Un cycle de deux semaines est-il même suffisant aujourd'hui ? Ben Mason (Google) : Nous assistons en effet à une évolution majeure. Les modèles d'IA permettent une détection et une génération d'exploits automatisées et beaucoup plus rapides. Face à cela, notre cadence doit s'accélérer. Le passage à deux semaines est un pas de géant, mais nous testons déjà un rythme de deux mises à jour de sécurité par semaine pour garder une longueur d'avance. L'objectif est simple : une fois qu'un correctif est public dans Chromium, chaque jour qui passe sans déploiement profite aux attaquants. 2. Le nouveau cycle : ce qui change concrètement ZDNET : Sur les trois étapes d'un correctif (développement, distribution, redémarrage), c'est donc la distribution qui est accélérée ? BM : Tout à fait. En passant d'un cycle de quatre à deux semaines, nous réduisons considérablement le temps dont disposent les hackers pour exploiter les codes publiés en open source. Et bien que ce rythme accéléré apporte aussi de nouvelles fonctionnalités plus vite, la sécurité est indéniablement le principal moteur de ce changement. ZDNET : Les autres navigateurs basés sur Chromium vont-ils suivre ce rythme ? BM : En accélérant la cadence, nous établissons une nouvelle norme pour l'écosystème Web. Les autres navigateurs intègrent ces modifications selon leur propre calendrier, mais nous sommes ravis de voir l'industrie s'orienter vers des fenêtres de mise à jour plus courtes. 3. "Fatigue des correctifs" : vers la fin des redémarrages ? ZDNET : Avec des correctifs plus fréquents, le risque est la "fatigue des correctifs" : les utilisateurs repoussent le redémarrage de leur navigateur, ce qui laisse une faille ouverte. Où en est l'application dynamique de correctifs (sans redémarrage) ? BM : C’est un point crucial. Nous développons ces correctifs dynamiques pour éliminer le besoin de redémarrer complètement le navigateur. Ce projet en est à ses débuts. Mais en attendant, nous optimisons les redémarrages en arrière-plan (quand toutes les fenêtres sont fermées, par exemple sur macOS) et la restauration des sessions pour rendre l'expérience la plus transparente possible. ZDNET : Les entreprises privilégient la stabilité et utilisent le canal "Extended Stable" avec des mises à jour toutes les 8 semaines. À l'ère des ransomwares et de l'IA, n'est-ce pas dangereux de privilégier la stabilité des applications au détriment de la cybersécurité ? BM : Nous comprenons ce dilemme : éviter qu'une application métier ne plante, tout en se protégeant des ransomwares. Cependant, être sur le canal Extended Stable ne signifie pas rester vulnérable pendant 8 semaines ! Les entreprises reçoivent les mises à jour majeures toutes les 8 semaines (pour leurs tests de régression), mais les correctifs de sécurité critiques sont rétroportés et déployés chaque semaine. Les entreprises n’ont donc pas à sacrifier la sécurité pour conserver leur stabilité. Adieu Claude Cowork : Anthropic fusionne ses deux « Claude » en un seul Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ? Les raisons pour lesquelles l'IA fait exploser les fraudes par manipulation en entreprise Avec l'essor de l'IA générative, les cybercriminels délaissent le piratage classique pour manipuler vos équipes avec un réalisme glaçant. Le rapport annuel de l'Observatoire de la sécurité des moyens de paiement fait le point. Les violations de données personnelles, nouvel axe d’effort du « Cybermois » de l’année 2026 Selon un sondage du groupement d’intérêt public, près de 45% des français ont été informé d’une fuite de leurs données personnelles en 2026. Une étude révèle que votre ami qui n’a « rien à cacher » est le plus susceptible de vous espionner Une nouvelle étude explore les tendances comportementales qui se cachent derrière cette expression « rien à cacher ». À découvrir également : 6 façons d’améliorer la confidentialité de votre téléphone. Les Helvètes sortent leur couteau suisse face à Microsoft 365 Deux divisions du gouvernement suisse abandonnent Microsoft 365 au profit de la solution open source openDesk. Voici pourquoi. PAR STEVEN VAUGHAN-NICHOLS | 15 SEPTEMBRE 2026 Linux pratique : installez l’outil de reconnaissance vocale Speech Note Si la dictée est votre méthode préférée pour prendre des notes et que vous travaillez sous l’OS libre, ce logiciel est certainement ce qu'il vous faut. Voici comment vous lancer. J'ai utilisé un outil d'IA gratuit et open source pour créer une application fonctionnelle – en deux jours Vous souhaitez vous lancer dans le développement d'applications web, mobiles ou « full-stack », mais vous n'avez aucune expérience ? Dyad est là pour vous aider – disponible sur Linux, macOS et Windows. Linux pratique : testez ClamUI, un outil antivirus simple d'utilisation Vous vous inquiétez de possibles failles de sécurité dans le système libre ? Ou peut-être que vous partagez beaucoup de fichiers avec des utilisateurs de Windows ? Assurez-vous qu'ils ne contiennent pas de programmes malveillants avec cette interface graphique pratique. stillOS offre l'une des meilleures expériences d'initiation à Linux que j'aie jamais vues. Au fil des ans, j'ai testé d'innombrables distributions Linux, mais celle-ci répond parfaitement aux besoins des utilisateurs de tous horizons, à chaque étape. Vous en avez assez des résultats bidons générés par l’IA ? Comment j’ai forcé Google à me fournir à nouveau des résultats fiables Lorsque vous recherchez des réponses fiables, la dernière chose dont vous avez besoin, c’est d’une multitude de résultats de mauvaise qualité dans vos résultats de recherche. Voici comment y remédier. Web pratique : remplacez Firefox par Brave comme navigateur par défaut sur votre mobile Android Ouvrez les paramètres de l’appli et regardez les nombreux réglages possibles pour renforcer la sécurité et la confidentialité de votre navigation en ligne. Juste pour cela, la bascule se justifie. Web pratique : pour naviguer avec l’IA utilisez la Smart Window de Firefox Mozilla a enfin lancé la version bêta de sa « fenêtre intelligente » en France et en français, son déploiement venant juste démarrer. Voici ci-dessous quelques atouts qui pourraient bien vous faire revenir à son navigateur au cas où vous vous en seriez éloigné. 45 % des professionnels utilisent des outils d’IA « parallèles » : voici comment gérer les risques du Shadow AI L’utilisation d’outils d’IA non autorisés est en hausse. Voici pourquoi cela présente des risques et comment vous et votre entreprise pouvez maîtriser cette situation.