- Chromeはバージョン149と150で1.072件のセキュリティ上の欠陥を修正した。これは、それまでの23バージョンを合わせた数よりも多い。
- Geminiをベースとしたエージェントが、ローカルファイルを読み取ることを可能にする13年前の脆弱性を発見した。
- Googleは週2回のパッチ適用によるアップデートを加速させており、再起動なしで動的にパッチを適用する機能の開発に取り組んでいる。
- AIは、検出、分類、パッチ生成、検証といった全サイクルに統合されています。
世界で最も利用されているブラウザが、セキュリティ面で大きな飛躍を遂げた。 Google Chromeは、過去2つのバージョンで1.072件の脆弱性を修正しました。この数字は、過去2年間に適用されたパッチの総数を上回っています。同社はこの成果を、バグ検出および修復プロセスへの人工知能の大規模な統合によるものとしています。
Chromeのセキュリティチームが公開したデータによると、2026年6月にリリースされたバージョン149と150には、それまでの23のメジャーバージョンを合わせたよりも多くの修正が含まれていた。 大規模言語モデル（LLM）の利用により、従来は数週間の手作業を要していたタスクを自動化することが可能になった。エラーの特定から候補パッチの生成まで。
AIエージェントが13年間隠されていた欠陥を発見
この新しいアプローチによる最も注目すべき発見の一つは、10年以上もの間見過ごされてきた重大な脆弱性の発見である。 2026年初頭に作成されたジェミニベースのエージェントは、CVSSスコア9,8でサンドボックスからの脱出に成功した。CVE-2026-3545として登録されたこの脆弱性により、改ざんされたレンダリングプロセスがブラウザをだましてコンピュータ上のローカルファイルを読み込ませることが可能になった。
Googleは、このシステムは既知の脆弱性の全履歴とChromiumのソースコード全体を用いて学習されたと説明している。 エージェントは、インターネットに接続されていない隔離されたマシン上でコードを解析する。これにより、AI自体が悪用されるリスクが軽減されます。さらに、開発者はSECURITY.mdファイルを追加することで、モデルが各コンポーネントの信頼境界を識別するのに役立ちます。
エンドツーエンドの自動化
人工知能は欠陥を発見するだけでなく、脆弱性ライフサイクル全体にも関与する。 システムは重複するレポートをフィルタリングし、エラーを再現し、その深刻度を判断し、適切な開発者にタスクを割り当てます。Googleは、このプロセスによって毎月数百時間の作業時間が節約できると推定している。
修復フェーズでは、1つのエージェントが複数のパッチ提案を生成し、別のエージェントがレビュー担当者として、それらの解決策をChromiumプロジェクトのスタイルルールと比較します。 これらのモデルは、ほとんどの脆弱性に対して既に修正候補を生成している。そして5月だけでも、彼らは20件以上の不具合が生産段階に達するのを防いだ。その中には重大な不具合も1件含まれていた。
同社はこれらのツールを継続的インテグレーションシステムにも統合しており、すべてのビルドレベルで24時間ごとにセキュリティスキャンを実行している。 これにより、コードがユーザーに届く前に脆弱性を事前に検出することが可能になります。これは、外部の研究者が問題を報告するのを待つという従来のモデルからの根本的な変化である。
より高速なアップデートと動的なパッチ適用
発見された脆弱性の急増により、Googleはリリーススケジュールを見直さざるを得なくなった。 Chromeは既に2週間ごとにメジャーバージョンアップを行い、毎週セキュリティアップデートを実施している。Chromeは現在、週2回パッチのテストを実施している。Chromeのエンジニアリングディレクターであるダグ・ターナー氏は、利用可能な修正プログラムが多数あるため、このような決定に至ったと説明した。
パッチのリリースからインストールまでの期間を短縮するため、Googleは動的パッチ適用に取り組んでいます。 この技術により、ブラウザを再起動することなくアップデートを適用できるようになる。これは、macOS上で既にテストされている機能で、ウィンドウが開いていない状態でブラウザがバックグラウンドで実行されている場合に自動的に再起動するものです。
未来：Rustによる構造的エラーの減少
Googleは、バグを一つずつ修正するだけでなく、脆弱性のカテゴリー全体を根絶することを目指している。 同社は、C++よりもセキュリティの高いプログラミング言語であるRustで、Chromeのコードの一部を書き換えている。 メモリ管理に関しては、リリース後のエラーを無効化するために、MiraclePtrやMiracleObjectといった保護機能も導入されています。
Chromeの副社長であるパリサ・タブリーズ氏は、AIは防御と攻撃の両方において転換点となっていると指摘した。 「私の最大の願いは、すべてがより安全になることですが、状況が自動的に改善するとは考えていません。」「もっと積極的に行動する必要がある」と彼女はWIRED誌に語った。同幹部は、業界全体がこれらのツールを採用して後れを取らないようにすることの重要性を強調した。
セキュリティチームは、AIが最も明白なエラーを検出すれば、現在急増している発見件数は落ち着く可能性があると考えている。 しかし、その一方で、パッチのリリースペースは前例のないほど速い。 また、ユーザーはセキュリティを維持するためにブラウザを常に最新の状態に保つ必要があります。
人工知能、自動化、そして構造的な変化の組み合わせが、Chromeにおけるセキュリティを再定義しつつある。 今年に入ってからすでに1.800件以上の修正が行われており、ブラウザは攻撃者に対する耐性を高めている。しかし、優位性を維持するための競争は決して終わらない。Googleは、AIが欠陥を発見するだけでなく、ソフトウェア設計段階から欠陥を未然に防ぐのに役立つモデルに賭けている。
