The Hacker Newsは7月31日(現地時間)、「Three Recent Chrome Releases Fix 1,442 Flaws, More Than Prior 23 Updates Combined」において、GoogleがChromeバージョン149、150、151で合計1442件の脆弱性を修正したと報じた。

バージョン149と150の脆弱性の合計は1072件で、これはバージョン126から148までのアップデート23回で修正した脆弱性の総数を上回る規模とされる。151では370件の修正が盛り込まれ、そのうち349件(7件は深刻度が重大)はGoogle自身が報告したという。

  • バージョン126から150までの修正件数推移 引用：Google

    バージョン126から150までの修正件数推移 引用：Google

AIが13年間見つからなかった重大脆弱性を発見

昨今、脆弱性の発見数が急増している。背景には大規模言語モデル(LLM: Large Language Model)の普及がある。AIを活用した脆弱性の特定手法が開発され、効率が高まったことで、従来では発見困難とされていた脆弱性の検出が可能となった。その結果、一部企業では修正作業を上回る速度で報告が寄せられる状況が生じたとの報告もある。

米国国立標準技術研究所(NIST: National Institute of Standards and Technology)が管理している脆弱性情報データベース(NVD: National Vulnerability Database)によると、2026年の脆弱性登録件数は4万6872件に達し、2025年通年の4万9920件に迫る勢いとされる。

GoogleはAIが持つ脆弱性特定能力の高さを示す事例として、サンドボックス脱出の脆弱性「CVE-2026-3545」を挙げた。深刻度は緊急評価(CVSSスコア: 9.6)で、悪用されるとリモートの攻撃者にWebブラウザー経由でローカルファイルを読み取られる可能性がある。

この欠陥はGeminiを利用した検証環境「エージェントハーネス」で発見された。Googleは脆弱なコードが13年間、発見されることなく潜んでいたことを明らかにし、この出来事がAIを活用した脆弱性検出を確固たるものにしたと述べている。

AIで修正プロセスを高速化、更新も週2回へ

Googleは脆弱性発見のスピードの加速を座視せず、修正速度も高速化するワークフローを開発した。マルチエージェントワークフローと名付けられたこのシステムは、多段階のAIエージェントで構成され、修正候補の作成、コードレビュー、規約確認、テストケースの生成までほぼすべてを自動で行う。

このワークフローの導入により開発者の負担は大幅に軽減。同社によると、最大で数週間の開発期間を節約できるという。この仕組みの導入によりGoogleは脆弱性の発見から修正まで、一連のプロセスを加速し、時間の短縮に成功した。

次の目標は、この成果をユーザーに速やかに届ける仕組みの構築だ。同社は現在、Chrome安定版のリリース間隔を2週間へ短縮し、さらにセキュリティアップデートを毎週リリースする体制に移行を進めている。しかしながら、AIを利用した攻撃の急速な進化には対応できないと評価し、セキュリティアップデートを週2回に倍増する計画の試験運用も開始した。

同社はリリース間隔の短縮に合わせ、脆弱性の発見から情報公開までの期間も適切に短縮する方針だ。社内発見か外部報告かを問わず、標準手順として文書化し公開するが、この文書化に必要なリリースノートおよびCVE関連情報を自動生成することで、時間の短縮を目指すという。

再起動不要の更新やRust導入も推進

ユーザー側のアップデート負担の軽減も進められる。Chromeを再起動せず修正を反映できる「動的パッチ適用」の研究を推進し、加えて再起動が必要な場合でも円滑なセッション復元が可能なタイミングを狙って自動再起動する仕組みを整備する。

脆弱性の発生を抑える根本対策も進める。解放後使用(UAF: use-after-free)、境界外アクセス、メモリー安全性の問題を減らすため、ランタイム環境の強化、Rustなどメモリー安全な言語へ移行する。さらに、WebブラウザのユーザーインタフェースをHTML、CSS、TypeScriptで実装し、従来のC++フレームワークへの依存も減らす方針だ。

Googleは脆弱性の修正だけでは十分ではなく、攻撃者に悪用される前にアップデートを迅速に配布し適用することが不可欠だと説明する。更新頻度の引き上げ、動的パッチ適用、自動再起動などを組み合わせ、利用者の作業を妨げずに切れ目なく保護されるWebブラウザの実現を目標に掲げている。