Google、AIでChrome脆弱性1072件修正と発表
- GoogleはAIを活用しChrome 149・150で計1072件の脆弱性を修正したと発表
- 13年間存在していたサンドボックスエスケープの欠陥もAIが発見
- 脆弱性の発見から報告の優先順位付け、パッチ生成までAIが関与
かんたんに言うと
GoogleがAIを使ってブラウザChromeの弱点を大量に見つけて直したと発表しました。利用者は特別な対応は不要ですが、Chromeを最新版に保つことが重要です。
AIセキュリティとの関連: AIを脆弱性発見・修正プロセスに実装し成果を出した具体事例で、主要ブラウザの安全性向上を示す事例
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
Googleは、Chrome 149とChrome 150の2つのリリースで合計1072件のセキュリティ脆弱性を修正したと発表した。これは過去23回分のリリースで修正した件数の合計を上回るという。同社は脆弱性の発見、報告内容の再現、深刻度判定、担当者への割り当て、修正パッチ案の生成、テスト作成といった脆弱性管理の各工程でLLM(大規模言語モデル)を活用していると説明する。2023年にファジング(ランダムな入力を大量に与えてバグを探す手法)の改善にAIを使い始め、Project ZeroとのNaptime、Google DeepMindとのBig Sleepといった取り組みを経て、2026年初頭にはGeminiを使ったエージェントでChrome全体のコードベースを検索する仕組みを構築した。この過程で、13年間存在していたサンドボックスエスケープ(隔離された実行環境から抜け出す欠陥)が発見された。悪用されればローカルファイルの読み取りにつながる恐れがあったという。
誰に・どう影響するか
中小企業にとっては、日常的に使うChromeブラウザの安全性がAI活用によって高まっている点が朗報といえる。特別な対応は不要だが、自動更新設定を維持し常に最新版を使うことが重要になる。大企業やIT部門にとっては、脆弱性報奨金プログラムへの報告件数が急増している点に注目したい。Googleによれば2026年3月時点で2025年通年を上回る報告数に達したという。これに伴い、報告の優先順位付けや重複排除もAIで自動化されており、開発者の作業時間を月あたり数百時間節約しているとGoogleは説明する。また、パッチが公開ソースコードにコミットされた時点で攻撃者が脆弱性を解析し始めるリスクがあるため、Googleは2週間ごとのメジャーリリースと週次セキュリティ更新への移行、さらにブラウザを再起動せずに更新を適用する「動的パッチ」の開発を進めている。組織のセキュリティ担当者は、こうしたパッチ配信サイクルの高速化を踏まえ、更新適用の運用体制を見直す余地がある。
今すぐやるべきアクション
- Chromeを自動更新設定のままにし、最新版へのアップデートを確認する
- macOSでChrome 150以降を使う場合、バックグラウンドでの自動再起動更新の挙動を把握しておく
- 自社の脆弱性管理プロセスでもAI活用による工数削減の余地がないか検討する
- SECURITY.mdのような信頼境界を明示する文書を自社開発プロジェクトでも整備することを検討する
重大度の判定理由
重大度「中」: 悪用報告はなく、修正済みの脆弱性管理プロセス改善に関する情報のため