גוגל מקצרת את חלון ההזדמנויות: כרום יתעדכן כל שבועיים, כי ה-AI מוצא באגים מהר מכם

🔗 קישור למוצר: Google Chrome

ב-8 בספטמבר גוגל שחררה את כרום 153, ואיתו הודעה שנשמעת טכנית עד שמבינים מה עומד מאחוריה: הדפדפן הפופולרי בעולם עובר ממחזור שחרור של ארבעה שבועות למחזור של שבועיים. השינוי חל על דסקטופ, אנדרואיד ו-iOS, ובנוסף אליו נשארים גם עדכוני האבטחה השבועיים שכבר קיימים היום. במילים אחרות, גוגל לא הוסיפה עוד שכבת תיקונים — היא לחצה את כל לוח הזמנים של הפיתוח לחצי.

הגרסה הראשונה במתכונת החדשה הגיעה עמוסה. כרום 153 כלל 230 תיקוני אבטחה, וביניהם CVE-2026-87491 — באג השחתת זיכרון במנוע JavaScript‏ V8, שלגביו גוגל כתבה במפורש שקיים ניצול שלו בטבע. זו פרצת יום-אפס שביעית שמנוצלת בפועל נגד כרום מאז תחילת 2026. מספר כזה של תיקונים במנה אחת הוא בדיוק הבעיה שגוגל מנסה לפתור: כשהערימה גדלה, עדיף לפרוק אותה בסלים קטנים ותכופים מאשר במשאית אחת פעם בחודש.

ההסבר של גוגל נשען על מונח שמוכר לכל מי שעוסק באבטחה: פער ה-N-day. כרום הוא פרויקט קוד פתוח, ולכן ברגע שתיקון נכנס למאגר הציבורי הוא גם מסמן לתוקפים היכן בדיוק הייתה החולשה. תוקף שמבצע הנדסה לאחור לתיקון יכול לבנות ניצול לפני שהגרסה היציבה בכלל מגיעה למחשבים של המשתמשים. כל שבוע שנחסך שם הוא שבוע פחות של חלון פתוח. במחזור של ארבעה שבועות החלון הזה היה נדיב מדי; בשבועיים הוא מצטמצם לחצי.

ומה שהגדיל את הערימה מלכתחילה הוא ה-AI עצמו. גוגל הפעילה בשנתיים האחרונות סוכני גילוי פגיעויות מבוססי מודלים — Big Sleep הוא המוכר שבהם — שסורקים בסיסי קוד ומדווחים על באגים בקצב שחוקרי אנוש לא מייצרים. בצירוף דיווחים מקהילת החוקרים, נפח התיקונים זינק, וכפי שדיווח TechCrunch, גוגל מסבירה שמחזור קצר יותר פשוט הופך את ניהול התיקונים לנוח יותר. יש כאן גם צד שני, פחות מנחם: אותם כלים בדיוק זמינים לצד התוקף.

הנה הקטע שנוגע ישירות לארגונים כאן. בעשור האחרון הדפדפן הפך בפועל למערכת ההפעלה של העובד — כל מה שקורה ביום עבודה ישראלי ממוצע, מ-Salesforce ועד סביבת פיתוח בענן, יושב בתוך טאב. זה אומר שכרום הוא היום אחד ממשטחי התקיפה הרחבים ביותר בכל ארגון, וגם שכל שינוי בקצב העדכונים שלו נופל ישירות על צוותי ה-IT. מי שמריץ מלאי מכשירים מנוהל צריך עכשיו להכפיל את תדירות בדיקות התאימות, או לעבור לערוץ Extended Stable שנשאר במחזור של שמונה שבועות ומקבל תיקוני אבטחה בבקפורט שבועי. הפשרה ברורה: פחות טלטלות תפעוליות, אבל פיגור מובנה מאחורי הגרסה הראשית. ארגונים ישראליים שמנהלים ציוד עם משאבי IT דקים — ויש הרבה כאלה בסקייל-אפים — ימצאו את עצמם צריכים להחליט בין השניים במקום להשאיר את זה על ברירת המחדל.

קריאה שלנו: המהלך הזה הוא לא רק אבטחה, הוא גם תחרות. השנה האחרונה הביאה גל דפדפנים חדשים — Comet של Perplexity,‏ Neon של אופרה,‏ Dia,‏ בריב, דפדפן של DuckDuckGo — שרובם נבנו מהר יותר בזכות פיתוח בסיוע AI, וכולם מתחרים על אותה נדל"ן: הטאב שבו המשתמש מבלה את היום. מחזור של שבועיים מאפשר לגוגל להזרים פיצ'רי AI לכרום ולתקן אותם תוך שבועיים במקום חודש. מוזילה, מיקרוסופט ובריב כבר נעות לכיוון לוחות זמנים דומים, כך שהמרוץ הזה בדרך להפוך לסטנדרט של הקטגוריה ולא ליוזמה של שחקן אחד.

הצד הפחות זוהר של הסיפור הוא שדפדפן שמתעדכן כל שבועיים הוא גם דפדפן שמשתנה כל שבועיים. פחות זמן ייצוב לפני שחרור, יותר הזדמנויות לרגרסיות, ופחות סבלנות לבדיקות ידניות — במיוחד כשחלק מהקוד והתיקונים עצמם נכתבים בסיוע מודלים. גוגל מהמרת שהרווח בצמצום חלון הניצול גדול מהסיכון הזה. ההימור נשמע סביר, וזה גם היה נשמע סביר עד הפעם הראשונה שעדכון דחוף ישבור משהו בעולם האמיתי. את התשובה נקבל, כמו הכול כאן, תוך שבועיים.