The Hacker Newsの報道（現地時間7月31日）によると、GoogleはChromeバージョン149、150、151の3リリースで、合計1442件の脆弱性を修正した。これはGoogleセキュリティチームの報告書「Stronger with every update: How we’re making Chrome and the web safer in the AI Era」に基づく。このうちバージョン149と150の合計は1072件で、バージョン126から148までの23回のアップデートで修正した脆弱性の総数を上回る規模だという。バージョン151では370件の修正が含まれ、そのうち349件（7件は深刻度が重大）をGoogle自身が報告している。
脆弱性の発見数が急増している背景には、大規模言語モデル（LLM）の普及があるとみられる。AIを活用した脆弱性の特定手法が開発され、効率が高まったことで、従来は発見困難とされていた問題も検出できるようになった。一部の企業では修正作業を上回る速度で報告が寄せられる状況も生じているという。
NVD登録は2026年に4万6872件
米国国立標準技術研究所（NIST）が管理する脆弱性情報データベース（NVD）によると、2026年の脆弱性登録件数は4万6872件に達し、2025年通年の4万9920件に迫る勢いだ。
AIが見つけた13年間の潜伏欠陥
GoogleはAIの脆弱性特定能力を示す事例として、サンドボックス脱出の脆弱性「CVE-2026-3545」を挙げた。深刻度は緊急評価（CVSSスコア9.6）で、悪用されるとリモートの攻撃者にWebブラウザー経由でローカルファイルを読み取られる可能性がある。
この欠陥はGeminiを利用した検証環境「エージェントハーネス」で発見された。脆弱なコードは13年間、発見されることなく潜んでいたといい、Googleはこの出来事がAIを活用した脆弱性検出を確固たるものにしたとしている。
修正も自動化するマルチエージェントワークフロー
Googleは脆弱性発見のスピードの加速に対応するため、修正速度を高速化するワークフロー「マルチエージェントワークフロー」を開発した。多段階のAIエージェントで構成され、修正候補の作成、コードレビュー、規約確認、テストケースの生成までほぼすべてを自動で行う。この導入により開発者の負担は大幅に軽減され、最大で数週間の開発期間を節約できるという。
次の目標は、修正をユーザーに迅速に届ける仕組みの構築だ。Googleは現在、Chrome安定版のリリース間隔を2週間へ短縮し、さらにセキュリティアップデートを毎週リリースする体制への移行を進めている。しかし、AIを利用した攻撃の急速な進化には対応できないと評価し、セキュリティアップデートを週2回に倍増する計画の試験運用も開始した。
情報公開の短縮と動的パッチ適用
同社はリリース間隔の短縮に合わせ、脆弱性の発見から情報公開までの期間も適切に短縮する方針だ。社内発見か外部報告かを問わず、標準手順として文書化するが、リリースノートとCVE関連情報を自動生成することで時間の短縮を目指す。
ユーザー側の負担軽減も進められる。Chromeを再起動せずに修正を反映できる「動的パッチ適用」の研究を推進し、再起動が必要な場合でもセッション復元が円滑なタイミングで自動再起動する仕組みを整備する。
根本対策はRust移行とUI刷新
脆弱性の発生を抑える根本対策も進む。解放後使用（UAF）、境界外アクセス、メモリー安全性の問題を減らすため、ランタイム環境の強化やRustなどメモリー安全な言語への移行を進める。さらにWebブラウザーのユーザーインタフェースをHTML、CSS、TypeScriptで実装し、従来のC++フレームワークへの依存も減らす方針だ。
Googleは脆弱性の修正だけでは十分ではなく、攻撃者に悪用される前にアップデートを迅速に配布し適用することが不可欠だと説明している。更新頻度の引き上げ、動的パッチ適用、自動再起動などを組み合わせ、利用者の作業を妨げずに切れ目なく保護されるWebブラウザーの実現を目指す。
