Google、AIでChrome開発加速。13年放置の脆弱性発見、修正件数は2年分超え

多根清史

2026/08/03 12:30

Share

• 
• 

Googleは、AIがChromeのセキュリティ対策をどのように変革しているかをまとめた詳細な技術ブログを公開した。6月にリリースされたChrome 149および150では、合計1,072件のセキュリティ上の不具合を修正したという。この件数は、2024年6月以降に公開された過去23バージョンのChrome全体で修正された不具合数を上回る。

同社は2023年初頭から、Geminiを中核とした「エージェントハーネス」を構築し、これまで不可能だった規模と速度で脆弱性候補を発見できるようになったという。

ある事例では、13年以上にわたりコードベース内に潜んでいたChromeのサンドボックスエスケープ脆弱性が見つかった。この脆弱性が悪用されていた場合、攻撃者はChromeのサンドボックス（信頼できないWebコンテンツをOS本体やユーザーのファイルから切り離して動作させる隔離機構）を突破し、ローカルファイルへアクセスできた可能性がある。

脆弱性の発見スピードは現在、Googleがアップデート配信モデル全体を見直すほどまで向上しているという。つまり、「脆弱性を見つけること」よりも、「修正をいかに迅速かつ安全にユーザーへ届けるか」が新たなボトルネックになりつつあるわけだ。

Chromeは2026年から約2週間ごとのメジャーアップデートと週1回のセキュリティアップデートへ移行しているが、さらなる高速化策として、週2回のセキュリティリリースを試験運用している。狙いは、脆弱性の発見から修正の配信までの時間を極力短縮し、攻撃者が脆弱性をリバースエンジニアリングして攻撃手法を開発する猶予を減らすことにある。

さらにGoogleは、パッチを配信しても、ユーザーがブラウザを再起動しなければ適用されない問題を解消するため、アップデート方式そのものの見直しも進めている。たとえばmacOS版Chrome 150では、「ゼロウィンドウ・リスタート」と呼ばれる仕組みを導入した。これは、すべてのウィンドウを閉じたタイミングで、バックグラウンドのアプリプロセスに自動で更新を適用する仕組みである。

もう1つの解決策として、動的パッチ適用（Dynamic Patching）にも取り組んでいる。これは、バックグラウンドプロセスを更新済みバイナリへ動的に置き換えることで、ブラウザを再起動することなくセキュリティアップデートを適用できるようにする技術である。ただしGoogleは、安定版への導入時期については、現時点で具体的なロードマップを公表していない。