Chrome、AI活用で1,072件の脆弱性を修正

何が起きたか

Googleの Chrome セキュリティチームが6月の2つのメジャーバージョンリリースで1,072件のセキュリティバグの修正をリリースした。この件数は過去23回のメジャーリリース合計を上回っている。急増の主な原因は、Chrome チームが脆弱性発見、トリアージ、パッチ開発にAIツールを活用していることにある。ブラウザは現在、週2回のセキュリティ修正リリースと2週間ごとのメジャーリリース、さらに週1回の追加セキュリティアップデートという体制をテスト中だ。

なぜ重要か

ChromeのAI駆動型脆弱性発見体験は、AI活用したセキュリティパッチが業界全体のペースを根本的に変えていることを示唆している。Chrome担当副社長兼ジェネラルマネージャーのParisa Tabrizは今年を「攻防両面でのインフレクションポイント」と呼んでいる。AIが発見したバグの量は、セキュリティチームがリリーススケジュールとプロセスを調整する必要性を意味する。しかしChromeのような成熟した製品については、ブラウザエンジニアリング責任者のDoug Turnerは、低難度の脆弱性がすべて修正されると、AIモデルがコードベース内で発見可能なバグを段々と枯渇させるため、急増は恒久的ではないかもしれないと示唆している。

注目点

Chromeチームは即時パッチ対応と長期的な構造的改修の両面を追求している。迅速なパッチ適用に加えて、Chromeセキュリティチームはメモリセーフなプログラミング言語であるRustでC++コードの一部を書き直し、一般的なバグの全カテゴリを排除している。Turnerは、AIモデルがすべての歴史的CVEとChromiumコード履歴のすべての行で学習されており、積極的な人間によるレビューを受けていない印刷機能などの休止中の機能の弱点を特定できると指摘している。