Chrome、AI活用で1,072件の脆弱性を修正

Googleの Chromeセキュリティチームは木曜日、6月だけでブラウザの2つのメジャーバージョンリリースに1,072件のセキュリティバグの修正が含まれていたことを明かすレポートを発表した。これは過去23回のメジャーリリース合計のパッチ件数を大きく上回っている。これらのバグの多くは外部研究者からの報告によるものだが、Chromeチームはこの急増を主に、脆弱性発見、トリアージ、パッチ開発におけるAIツール利用のための、急速に進化する独自の内部プロセスに起因するとしている。

Chrome担当副社長兼ジェネラルマネージャーのParisa Tabrizは、Chromeチームが長くセキュリティ作業の自動化のために機械学習に依存してきたことを認め、少なくとも2012年にまで遡る脆弱性発見とファジングテスト活動を引き合いに出した。「しかし今年は非常に異なっていると思う」と彼女は述べた。「本当に攻防両面でのインフレクションポイントのように感じる。」現在の激しさはChromeを加速されたリリースサイクルへと移行させた。ブラウザは現在、週2回のセキュリティパッチをテスト中で、2週間ごとのメジャーリリースと追加の週1回のセキュリティアップデートへのシフトを計画している。

Chromeエンジニアリング責任者のDoug TurnerはAI駆動型発見プロセスの仕組みを説明した。チームの機械学習モデルは包括的な歴史的コンテキストで学習されている。すなわち、すべての既知のCVEとChromiumの全履歴におけるすべてのコード行、および各行がなぜ変更されたかの理由である。この百科事典的な学習により、モデルはChromeの膨大で複雑なコードベース全体の脆弱性を特定できる。これには、積極的な開発が行われておらず、人間の目がより少ない可能性のある印刷機能などの機能が含まれる。「私たちが最後にたどり着いたのは、非常に多くの脆弱性修正があったため、この期間中に2つを提供できるようにするのが最も理にかなっていた」とTurnerは述べた。「それが永遠に続くだろうか。誰が知るか。」

Turnerおよび他のセキュリティ研究者は、現在の脆弱性ブームが一時的である可能性があると考えている。Chromeのような成熟で安定した製品では、AIツールが発見可能なバグの大部分を枯渇させると、新たに発見される脆弱性が減少することを示す証拠がある。パッチ修正の波を超えて、Chromeセキュリティチームは長期的な構造的防御も追求しており、C++コードの一部をRust—「メモリセーフ」プログラミング言語—で書き直し、一般的なバグの全カテゴリを排除している。Tabrizは業界がセキュリティ開発ワークフローにAIを積極的に組み込む必要があると警告したが、自動的な改善を想定することに対して警告を発した。「近期的なスパイクがあるが、新しい均衡に達すると思う。最大の願いはすべてがより安全になることだ。しかし、すべてが単によくなると思い込んではいない。無料ではやってこないと思う。」