Google、AIを活用してChromeのセキュリティ脆弱性1,072件を修正

Googleは、AI支援によるセキュリティワークフローがChrome Stableのマイルストーン149と150にわたって、Chrome全体のセキュリティ脆弱性10,721件の修正に貢献したと発表しました。この件数は、それ以前の23回のマイルストーンで修正されたバグの合計数を上回っています。

Cloudsecurity solutions

Googleは新たなレポートの中で、大規模言語モデル（LLM）が脆弱性ライフサイクルの発見・トリアージからパッチ開発、テスト、リリース、アップデート普及に至るまで、どのように組み込まれているかを詳しく説明しました。

この取り組みは、攻撃者もAIを活用して脆弱性調査やエクスプロイト開発を加速させている中、進化し続ける脅威に対抗するというGoogleの姿勢を反映したものです。

GoogleはAIでChromeの脆弱性1,072件を修正

Chromeが持つAI駆動の脆弱性発見機能は、AI支援ファジングやProject ZeroのNaptimeフレームワーク、そしてGoogle DeepMindとProject Zeroの共同プロジェクトである「Big Sleep」など、これまでの取り組みを土台としています。

2026年初頭、Googleはより広範なChromiumコードベースを効率的かつ誤検出を抑えた形でスキャンできる、Geminiを活用したエージェントを開発しました。

大きな発見の一つが、Chromeのコードに13年以上前から存在していたとされるサンドボックスエスケープの脆弱性です。

この欠陥は、侵害されたレンダラープロセスがブラウザにローカルファイルを読み取らせることを可能にするもので、複雑なコードベースに潜む長年の欠陥をAIが発見できる可能性を示しています。

Googleによると、更新されたシステムでは独自モデルとオープンウェイトモデルの両方を使用し、さらにChromiumのGit履歴や過去に報告されたCVEを含むナレッジベースを補完的に活用しているとのことです。

同社はまた、信頼境界や脅威モデルを記載するSECURITY.mdファイルの追加を開発者に推奨しています。これによりAIエージェントは、正当なセキュリティリスクを特定するための追加コンテキストを得られます。

運用上のリスクを軽減するため、Googleはこれらのモデルを制限された環境で実行しています。ソースコードの解析はインターネットアクセスを制限したロックダウン済みのマシン上で行われ、ネットワーク通信は厳格な許可リストによって傍受・制御されています。

発見だけでなく、Googleはセキュリティバグのトリアージ工程も自動化しています。スパムや重複の除外、概念実証（PoC）エクスプロイトの検証、影響を受ける構成環境での再現、深刻度評価の付与、該当コンポーネント担当者への報告の振り分けまでを担うパイプラインです。Googleの試算では、この自動化ワークフローにより開発者の作業時間が毎月数百時間節約されているとのことです。

修正対応については、マルチエージェントのワークフローが候補パッチを生成し、提案された変更をレビューし、人間の開発者が承認する前にテストを作成します。

修正担当エージェントとレビュー担当エージェントはコードレビュー工程の一部を模擬的に再現し、コードがChromiumの基準やローカルの慣習に準拠していることを確認します。テスト作成エージェントも、Chromeがサポートする各プラットフォームや構成にわたってパッチを検証します。

Googleによると、同社のAIツールは継続的インテグレーション（CI）システムに組み込まれ、24時間ごとにコード変更をスキャンしているとのことです。5月だけでも、重大な深刻度の問題1件を含む20件超の脆弱性が本番環境に到達する前に食い止められました。

Softwarevulnerability database

Chromeチームはまた、「パッチギャップ」、すなわち公開のコード修正からユーザー端末への広範な展開までにかかる時間の短縮にも取り組んでいます。Googleは、Chromeのメジャーリリースを2週間ごとに行う体制と週次のセキュリティアップデートへの移行を進めており、週2回のセキュリティリリースの試験運用も行っています。

さらに、レンダラーやGPUの子プロセスをブラウザの完全な再起動なしに更新できる「動的パッチ適用」の研究も進めています。

同社の長期戦略には、C++のメモリ安全性に関する緩和策の拡充、リスクの高いコンポーネントへのRust採用、サードパーティ依存関係の更新自動化、そしてコードベースに入る前の脆弱性検出のためのChromeコミットキューへのAI活用が含まれています。

警告：政府系サイト20カ所以上が企業や市民にマルウェアを配布していました。詳しい攻撃調査の全文はこちらで、自社の被害有無を確認してください。