詳細を読む
Googleは7月30日、Chromeブラウザの直近2バージョンで1072件のセキュリティ脆弱性を修正したと発表しました。6月に公開したChrome 149と150の2回で、過去2年間に出した23バージョン分の合計1036件を上回りました。同社は社内のAIツールで脆弱性の発見から選別、修正コードの作成までを自動化しており、その成果が数字として表れた形です。
Chromeのエンジニアリング担当ディレクター、ダグ・ターナー氏は、大規模言語モデルが「脆弱性の発見を産業規模の自動作業に変えた」と述べています。同社のモデルは過去に確認されたCVEをすべて学習し、さらにChromiumのコード履歴でどの行がなぜ変更されたかまで把握しています。そのため印刷機能のように開発が止まり、人の目が届きにくい領域の欠陥も拾い上げられるといいます。
見つかった不具合には深刻なものも含まれます。13年間コードベースに潜んでいたバグは、悪用されればサンドボックスを回避してローカルファイルに触れられる状態でした。長く放置された穴が短期間で表面化したことは、AIによる探索の射程の広さを示しています。
発見の速度が上がれば、攻撃側も同じ速度で穴を見つけられます。Googleは2026年前半に打ち出した2週間ごとのメジャー更新に加え、セキュリティ修正を週2回配信する運用を試験しています。利用者の手を煩わせずに更新を届ける方法も並行して探っており、再起動なしの適用が視野に入ります。
同じ現象は他社でも起きています。Microsoftは7月の定例更新で過去最多となる570件を修正し、理由にAIの活用を挙げました。一方でAppleは2026年に482件と、独立集計では2015年並みの水準にとどまっています。
Chrome部門トップのパリサ・タブリーズ氏は、今年を「攻撃と防御の双方にとっての転換点」と表現しつつ、この急増は一時的で新しい均衡に落ち着くと見ています。同社はC++の一部をメモリ安全なRustへ書き換えるなど、バグを種類ごと消す構造的な対策も進めています。ソフトウェアを提供する側にとって、AIを防御のワークフローに組み込めるかどうかが分かれ目になりそうです。