Googleは、脆弱性の発見、バグ報告のトリアージ、パッチの生成、コードレビューにAIを活用することで、Chromeのセキュリティワークフローを拡大しました。狙いは、ソフトウェアの欠陥を発見してからセキュリティアップデートを提供するまでの時間を短縮することです。
「これまで、単一のセキュリティ報告のトリアージには5分から30分、あるいはそれ以上の時間がかかっており、主に人間の専門知識に頼っていました。当社はルールベースのシステムとAIを組み合わせた自動化アプローチへとトリアージプロセスを段階的に移行し、処理能力と精度の向上を図っています」とGoogleは記しています。
AIを活用した脆弱性発見
Googleは数年前からChromeのセキュリティ業務でAIを活用してきました。2026年には、Geminiベースのシステムを導入してこの取り組みを拡大し、Chromeのコードベース全体から脆弱性を検索できるようにしました。中でも注目すべき発見は、13年以上にわたってコード内に残っていたサンドボックスエスケープの脆弱性です。Googleによると、この欠陥により侵害されたレンダラープロセスがローカルファイルにアクセスできる可能性があったといいます。
それ以降、Googleはオープンウェイトモデルと独自モデルを連携させて動作させる仕組みを追加し、Chromeのgit履歴と過去に開示されたCVEからナレッジベースを構築しました。これにより、モデルは学習時点で得られた情報を超えて推論できるようになっています。
別途用意された「批評役(critic)」エージェントは、開発者がコード内の信頼境界を文書化するために使用するSECURITY.mdファイルをレビューします。また、AIモデルの出力は実行のたびに変動する可能性があるため、脆弱性スキャンは複数回にわたって実行されます。
「私たちは安全性を念頭に置いてこの仕組みをすべて構築しており、AIが予期せぬ挙動を示すリスクを軽減するためのガードレールを設けています」
AIが修復作業を支援
AIは修復作業でも活用されています。候補となるパッチを生成し、提案された修正内容をレビューし、エンジニアが変更点を確認する前にテストを作成します。Googleによれば、Chrome 149とChrome 150では合計1,072件のセキュリティバグが修正され、これは過去23回の安定版リリースを合わせた修正件数を上回るものです。
Googleは、報告される脆弱性の件数が増加していることについて、Chromeのセキュリティが低下していることを示すものではなく、検出能力が向上した結果だと説明しています。「発見・修正されるバグの件数が増えることは、失敗の兆候ではありません」としています。
パッチギャップの縮小
Googleは「パッチギャップ」、すなわちChromeのソースコードにセキュリティ修正を公開してからユーザーがそのアップデートをインストールするまでの期間の短縮に取り組んでいます。この期間中、攻撃者は公開されているパッチを解析し、ユーザーにアップデートが行き渡る前に攻撃コードを開発することが可能です。
修正はその深刻度に応じてメインのコードツリーからStableブランチへと移行されます。AIによって攻撃者がより迅速に脆弱性を解析できるようになっていることを受け、Googleは通常の週1回のペースに代えて、週2回のセキュリティリリースを試験的に実施しています。
「このようなペースであっても、適切な形での公開開示は依然として最優先事項です」と同社は述べています。
セキュリティアップデートの公開から適用までの期間をさらに短縮するため、Googleは主要なブラウザコンポーネントを完全な再起動なしに更新できる動的パッチ機能を開発しています。同社はまた、ユーザーの作業を妨げにくいタイミングを見計らってブラウザを自動的に再起動させる方法についても検証を進めています。
「Chromeの再起動を先延ばしにしたくなるのには、誰もが納得できる理由があります。再起動は作業の妨げになり得ますし、他のタスクの合間にスケジュールを調整する必要があり、どの瞬間においても最優先事項になることはほとんどありません」
長期的なセキュリティ改善
外部からのバグ報告は2026年に入って急増しており、3月の時点で既に、Googleが2025年の1年間に記録した件数を上回る報告数を記録していました。同社はこれを受けて脆弱性報奨金プログラム(Vulnerability Reward Program)を更新し、社内ツールでは発見しにくいバグに注力するよう外部の研究者に促しています。
Googleは、メモリ安全性を確保するツール「MiraclePtr」の適用範囲を拡大し、新規コンポーネントをメモリ安全な言語であるRustへ移行することで、Chromeのc++コードから特定カテゴリのバグそのものを排除しようとしています。これとは別に、AIモデルがマージ前のコード変更をスキャンし、コードベースのある部分への小さな変更が無関係な箇所を脆弱にしてしまうケースを検出しています。
Chromeは2,300を超えるサードパーティ製コンポーネントに依存しており、Googleはこれらを自動的に更新されるパイプラインへと移行を進めています。同社はまた、オープンソースのメンテナーを支援するAlpha-Omegaプロジェクトに1,250万ドルを拠出しています。
「AI時代の到来により、ソフトウェアセキュリティの脅威をめぐる状況が一段と厳しさを増していることは間違いありません。しかし、迅速な展開の仕組みと強固な構造的防御を組み合わせることで、私たちは守る側が優位に立ち続けられるようにしています。これにより、Chromeひいてはウェブ全体が、アップデートのたびにより安全になっていきます」とGoogleは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/google-chrome-ai-security-workflow/
