GoogleのAIが1,072のChromeバグを修正し、13年前のサンドボックス脆弱性を暴く

ChromeのエンジニアリングディレクターであるDoug Turnerは、大規模言語モデルは「サイバーセキュリティの経済学を根本的に変化させ、脆弱性発見を自動化された産業規模のオペレーションに変えた」と語った。Geminiのようなモデルにより、チームは脆弱性を「事前に」修正し、攻撃者に先んじることができると彼は述べた。

同社は「発見され、修正されたバグの増加は失敗の兆候ではない」と述べた。

Googleはまた、AIを用いて届いたレポートの検証、分類、修復も訓練している。単一のセキュリティレポートのトリアージには以前、人間の注意を5分から30分以上要していた。現在、ルールとモデルのハイブリッドパイプラインがスパムや重複をフィルタリングし、影響を受けたOSとChromeバージョンでバグを再現し、重大度やバグの導入時期などのメタデータを付与し、所有者にルーティングする。

Googleは、この変更により毎月数百人の開発者時間を節約できると見積もっている。

修復には修正エージェントが実行され、複数の候補パッチを提案する。第二の批評家エージェントが最も強力な候補を選び、変更がコンパイルされChromiumのスタイルルールを満たすまで、コードレビューのようなループ処理を行う。システムはエンジニアの承認前にテストも作成する。

モデルは、一般的なインターネットアクセスがないロックダウンされたマシンでソースコードを読み取り、許可リストされたネットワークインターセプトの背後で実行され、指定されたソースディレクトリ外のファイルに触れることは許可されていない。

Googleは「パッチギャップ」、つまり修正が公開ソースコードに現れてからユーザーが実際に適用するまでの時間を縮小しようとしている。攻撃者はこの期間を利用してパッチを研究し、エクスプロイトを開発する。Googleは週2回のセキュリティリリースを試験運用しており、完全な再起動なしでChromeの一部を更新できるダイナミックパッチングに取り組んでいる。

この急増はGoogleのバグ報奨金も変えた。外部からの提出が非常に急速に増加したため、3月までに同社は2025年通年の合計を上回るレポート数を獲得し、ツールが検出しにくいバグへとリサーチャーを誘導するためにChrome脆弱性報奨プログラムを刷新することを余儀なくされた。

長期的には、GoogleはMiraclePtrメモリ安全性ツールを拡大し、新しいコンポーネントをRustに変換し、Alpha-Omegaオープンソースセキュリティプロジェクトに1,250万ドルを寄付している。

Microsoftの最近のPatch Tuesday（記録的な570件の欠陥を修正）にはAIへの言及が含まれていたが、2026年に482件の修正を独自にカウントしているAppleは、同じ曲線に乗っていない。