Коротко: Исследовательский ИИ-агент Google на базе моделей Gemini нашёл в браузере Chrome критическую уязвимость CVE-2026-3545, которая незаметно жила в коде более 13 лет. Ошибка позволяла вредоносной веб-странице обойти «песочницу» браузера и прочитать локальные файлы на устройстве. Дыра уже закрыта в вышедших обновлениях Chrome — если у вас включено автообновление, самое важное вы уже сделали.
Что произошло
В конце июля 2026 года Google рассказала, что её экспериментальный ИИ-агент для поиска уязвимостей обнаружил серьёзную ошибку в компоненте Navigation браузера Chrome. Уязвимости присвоили идентификатор CVE-2026-3545 и высокий уровень опасности (по шкале CVSS — 9,6 из 10). Примечательно не только то, что нашли, но и кто нашёл: код с этой ошибкой существовал более 13 лет и оставался незамеченным при ручных проверках. Разборы угроз в нашем блоге всё чаще касаются именно таких «спящих» багов.
Агент работает не как обычный сканер: он изучает историю коммитов в git и базу прошлых уязвимостей, отслеживая, как менялся код, и находит места, где старое исправление открыло новую брешь. Анализ идёт на изолированных машинах, чтобы сам инструмент не стал источником риска.
Чем опасна уязвимость CVE-2026-3545
«Песочница» (sandbox) — это защитный барьер, который держит веб-страницу внутри браузера и не даёт ей дотянуться до файлов на диске. CVE-2026-3545 позволяла этот барьер обойти: специально подготовленная страница могла заставить Chrome прочитать локальные файлы — документы, сохранённые данные, части профиля. Именно обход песочницы делает такие ошибки настолько ценными для злоумышленников: одно посещение вредоносного сайта — и приватные файлы под угрозой.
Эта находка — часть более крупной картины. За три недавних релиза Chrome закрыл около 1442 уязвимостей — больше, чем за 23 предыдущие крупные версии вместе взятые. Google перешла на ускоренный цикл выпуска обновлений и постепенно переписывает части браузера на язык Rust, чтобы снизить число ошибок работы с памятью.
Что это значит для обычного пользователя
Хорошая новость: конкретно эта уязвимость уже исправлена, и признаков её массовой эксплуатации до выхода патча не было. Тревожный вывод глубже — ИИ теперь по обе стороны баррикад. Защитники с его помощью находят баги быстрее, но и атакующие используют те же методы, чтобы искать новые дыры. Поэтому «браузер обновится когда-нибудь сам» — уже небезопасная стратегия.
Важно понимать границы каждой защиты. Уязвимость такого типа срабатывает внутри браузера, на вашем устройстве. Ни один VPN не «чинит» дыру в Chrome — это работа обновлений. Разделяйте уровни защиты: обновления закрывают ошибки в программах, а VPN отвечает за приватность на уровне сети.
Как защититься
Порядок действий простой. Во-первых, откройте меню Chrome → «Справка» → «О браузере Google Chrome», убедитесь, что установлена последняя версия, и включите автообновление. То же касается расширений — обновляйте их и удаляйте лишние. Во-вторых, не открывайте ссылки из непроверенных писем и сообщений: почти все браузерные атаки начинаются с перехода на подготовленную страницу.
В-третьих, добавьте сетевой слой приватности. Приложение LiMP VPN шифрует трафик и скрывает от провайдера и владельца сети, какие сайты вы открываете, а благодаря политике no-logs сам сервис не хранит журнал ваших посещений. VPN не заменяет обновления браузера — он дополняет их: обновления защищают само устройство, VPN защищает данные в пути. Вместе это и есть эшелонированная оборона.