7月31日、Wiredが「Chrome Needs Twice-a-Week Patching Thanks to AI Bug Hunting」と題した記事を公開した。AIによるバグ発見の急増がChromeのセキュリティパッチ配信を週2回ペースへ押し上げており、わずか2ヶ月で過去23リリース分を超える修正数が記録されている。

Chromeのパッチ数が過去23回分を2ヶ月で超えた

Chromeセキュリティチームが公開したレポートによると、2025年6月にリリースされた2つのメジャーバージョンには、合計1,072件のセキュリティバグの修正が含まれていた。この数は、それ以前の23回分のメジャーリリースで出荷したパッチ数の合計を上回る。

この急増の主因は、外部研究者からの報告だけでなく、Chromeセキュリティチーム自身がAIツールを脆弱性の発見・トリアージ・パッチ開発のワークフローに組み込んだことにある。

Chromeの副社長兼ゼネラルマネージャーであるParisa Tabriz氏はWiredの取材に対し次のように述べている。

「Chromeでは、AIと呼ばれるようになる以前から機械学習を活用し、少なくとも2012年からファジングテストの自動化や脆弱性発見を支援してきた。しかし今年は明らかに違う。攻撃と防御の両面で、真の変曲点を迎えている感覚だ。」

なお、Tabriz氏が言及しているファジング（fuzzing）とは、プログラムに対して大量のランダムな入力データを送り込み、クラッシュや予期せぬ動作を引き起こす脆弱性を自動的に探し出すテスト手法だ。GoogleはOSS-Fuzzなどのプロジェクトを通じてオープンソースソフトウェアへのファジング適用を長年推進しており、ChromeへのAI統合はその延長線上にある取り組みといえる。

なぜ「週2回」なのか

Chromeはすでに2週間ごとのメジャーリリース＋週1回の追加セキュリティアップデートという体制へ移行しつつある。だが、脆弱性の発見が想定を超える勢いで続いているため、現在は週2回の修正リリースをパイロット運用している。

Chromeのエンジニアリングディレクター、Doug Turner氏はこう説明する。

「修正すべき脆弱性があまりにも多く積み上がったため、週2回の提供が最も合理的だと判断した。これが永続するかどうかは分からない。」

AIモデルが「コードの歴史」を学習している

技術的に興味深いのは、Chromeチームがモデルの訓練に用いているデータの範囲だ。Turner氏によると、モデルはすべての過去のCVE（Common Vulnerabilities and Exposuresの略。脆弱性を一意に識別するための国際標準的な識別子体系であり、MITRE Corporationが管理している）を把握しているだけでなく、Chromiumの全コード履歴における「なぜその行が変更されたか」という理由まで学習しているという。

CVEの採番・公開状況はNVD（National Vulnerability Database）でも検索・確認できる。セキュリティの文脈でCVE番号が登場した際は、これらのデータベースで詳細を追うのが一般的だ。

このコンテキストを活用することで、AIはChromeの巨大で複雑なコードベース全体の弱点を効率的に探索できる。特に印刷機能など、既に活発な開発が行われておらず、人間の目が届きにくい領域においても有効に機能するとしている。

「バグの洪水」は一時的か

Turner氏は、AIによる脆弱性発見ブームは永続しない可能性があると示唆する。Chromeのような成熟した製品では、AIで発見可能なバグが一通り修正された時点で、新規脆弱性の発見数は収束に向かうという見方だ。

また、Chromeチームは「モグラ叩き」的なパッチ対応と並行して、C++で書かれたコードをメモリ安全性の高いプログラミング言語Rustで書き直すといった構造的な改善にも取り組んでいる。バグを個別に潰すのではなく、バグが生まれやすい設計そのものを変えようという方向性だ。

Tabriz氏はこう締めくくっている。

「短期的なスパイクはあるが、新たな均衡点に落ち着いていくと思う。ソフトウェアセキュリティに関わる全員がAIを開発ワークフローに組み込むことが、業界全体として重要だ。すべてが自動的に良くなるとは思っていない。タダでは手に入らない。」

Googleのセキュリティ戦略との文脈

今回の動きは、Googleが長年にわたって取り組んできたセキュリティ研究の延長上にある。同社は著名なゼロデイ脆弱性研究チームであるProject Zeroを2014年に設立し、自社製品に限らずブラウザ・OS・ハードウェアに至る幅広いソフトウェアの脆弱性を継続的に調査・公開してきた。AIをセキュリティのワークフローに組み込む今回の取り組みは、こうした「攻撃的セキュリティ研究で得た知見を防御側へ還元する」というGoogleの一貫した姿勢と整合している。

AIがセキュリティの「攻撃側」にも使われる中、Chromeチームの対応は防御側がAIをどう実戦投入しているかの具体的な事例として注目に値する。パッチ頻度の増加はユーザーへの影響もあるが、週2回という運用を大規模なブラウザで実現している点は、ソフトウェアのリリースエンジニアリングの観点からも参考になる。

詳細はChrome Needs Twice-a-Week Patching Thanks to AI Bug Huntingを参照していただきたい。