Googleが「AIを使ってChromeのバグを大量修正した方法」を解説

Googleが自社製ウェブブラウザ「Chrome」のバグをAIを用いて発見・修正するシステムについて解説しています。AIの高性能化に伴って、Chromeのバグ修正数は急増しているそうです。

Stronger with every update: How we’re making Chrome and the web safer in the AI Era
https://blog.google/security/chrome-stronger-with-every-update/

Chromeのバグ発見および修正は「バグを発見する」「バグを優先付けする」「バグを修正する」「修正版Chromeをリリースする」「ユーザーが修正版Chromeをインストールする」という流れで進みます。Googleはバグ発見から修正までの流れをAIを用いて高速化し、修正内容をユーザーに適用するまでの流れも高速化に取り組んでいます。

◆バグを発見する
Googleは2023年から大規模言語モデル(LLM)を用いたセキュリティ対策システムを構築しており、2024年には「Naptime」と呼ばれるLLMを活用した脆弱(ぜいじゃく)性発見ツールを構築しました。さらに2024年にはNaptimeの強化版であるBig Sleepを開発。Big SleepはChromeに搭載されているJavaScriptエンジン「V8」の脆弱性を発見することに成功しています。

2026年初頭にはGeminiを用いてChromeの脆弱性を発見するためのエージェントハーネスを構築し、コードベースに13年間潜んでいた「サンドボックスを脱出してChromeに任意のファイルを読み込ませる」という脆弱性を発見することに成功。さらにハーネスの改善を続けて「Google製モデルとオープンモデルの強みを生かす相互運用性」「開発者へのSECURITY.mdの浸透」「SECURITY.mdを処理するための批評家エージェントの構築」「モデルの非決定性や改善に対応するために複数回にわたって検出フローを実行する仕組み」などを導入したとのこと。

◆バグを優先付けする
バグの優先付けにもAIを活用しています。具体的には以下の作業を実行しているとのこと。優先付けによって人間の開発者の作業時間を毎月数百時間も削減できたそうです。

ノイズの除去：AIによるバグ報告が脆弱性を明確に説明できているかや重複していないかを検証する
バグの再現：概念実証コードを作成し、影響を受けるOSやChromeバージョンでテストする
レポートにメタデータを付与：脆弱性の発生日時や深刻度評価といったメタデータをレポートに追加する
自動割り当て：適切な担当者に対応を割り振る

◆バグを修正する
バグの修正コードもAIを用いて作成します。「修正エージェント」で複数の候補コードを生成し、「批評エージェント」で最適なコードを選択するシステムを構築しているとのこと。Chrome 149とChrome 150では合計1072件の脆弱性を修正することに成功しました。以下のグラフはChromeのバージョンごとの脆弱性修正数を示しています。

◆修正版Chromeをリリースする
修正版Chromeはなるべく早期に展開する必要があります。このため、GoogleはChromeのアップデート間隔を従来の4週間から2週間へ短縮することを計画しています。また、セキュリティアップデートは毎週リリースする計画です。

◆ユーザーが修正版Chromeをインストールする
Chromeは再起動の際にアップデートが適用されますが、ユーザーの中にはブラウザを長期間開きっぱなしにする場合もあります。GoogleはChromeを再起動せずともアップデートを適用できる仕組みを構築中とのこと。また、再起動してもセッションを続きから再開できるようにローカルに保存するデータ量を増やす試みを実施しています。

さらに、macOSではOS固有の問題に対処しています。Windowsではウィンドウを閉じるとアプリケーションを終了したことになりますが、macOSでは「ウィンドウを閉じる」と「アプリケーションを終了する」が異なる操作として存在しており、ユーザーがメニューから終了を選んだり「Command＋Q」のショートカットキーを押すまでChromeを終了することができません。そこで、macOS版Chrome150ではウィンドウを閉じた段階で自動的に再起動してアップデートを適用するように変更されました。

Googleは、バグの発見と修正だけでなく、迅速な修正展開がAI時代における防御の重要な点だと指摘しています。