AIが脆弱性を発見、Google Chromeは週2回のパッチ更新へ

2026年6月、Google Chromeブラウザは史上最も集中的なパッチ更新期を迎えた。わずか1か月の間に2回のセキュリティアップデートが配信され、修正された脆弱性の数はそれ以前の23回分の更新の合計を上回った。この大きな変化は偶然ではなく、AIを活用した脆弱性発見システムが実戦投入された成果である。

Googleのパッチ配信ペースが突然加速した理由とは？

WIREDの報道によると、Googleのセキュリティチームは「Project Nimbus」と呼ばれる機械学習ベースの脆弱性発掘システムを内部に導入した。このシステムはChromeエンジン内の潜在的なリスク箇所を自動スキャンし、悪用可能性の評価レポートをリアルタイムで生成できる。従来、Chromeのパッチ更新サイクルは通常2週間に1回だったが、AIの導入により、Googleはセキュリティパッチの配信頻度を週2回にまで引き上げた。

「6月の2回の更新では、50件以上のセキュリティ脆弱性を修正しました。そのうち約70%はAIシステムが発見したものです。」——GoogleセキュリティエンジニアリングVP、Adrian Ludwigが公式ブログにて述べた。

注目すべきは、これらの脆弱性の中にリモートコード実行といった深刻度の高いものが含まれており、従来であれば発見・修正に数週間を要していた可能性があるという点だ。AIシステムは大量の過去の脆弱性パターンを分析することで、コード中の弱点を正確に予測し、一部の脆弱性については公開されて悪用される前に修正を完了できる。

AIは脆弱性発見のあり方をどう変えるのか？

従来の脆弱性発掘は、人手によるコードレビューとファジングテスト（Fuzzing）に依存しており、効率に限界があり、深層的な問題を見落としやすかった。AIモデルの優位性は、膨大なコードパスを処理し、人間では気づきにくい異常なパターンを識別できる点にある。Googleのシステムは強化学習とグラフニューラルネットワークを活用し、コード構造を学習可能なトポロジーグラフに変換することで、潜在的な脆弱性箇所を迅速に特定する。

Googleのエンジニアによると、このシステムは数十万件の既知の脆弱性と修正事例を用いて訓練されており、セキュリティ研究者の直感を模倣しつつ、超大規模な計算能力を備えているという。実際のテストでは、AIシステムの脆弱性発見精度は85%に達し、誤検知率は5%未満に抑えられている。

業界への影響：ブラウザセキュリティ競争が激化

Chromeのこの変化はブラウザ市場全体に連鎖反応をもたらした。Microsoft EdgeとMozilla Firefoxもこぞってセキュリティ分野へのAI投資を拡大し、Chromeとのパッチ配信速度の差を縮めようとしている。しかしGoogleはChromeの圧倒的な市場シェア（65%超）を背景に、セキュリティアップデート頻度の向上が世界数十億人のユーザーのプライバシーとセキュリティに直接影響を与える立場にある。

セキュリティ専門家の一部は、頻繁な更新の裏返しとしてユーザーが「更新疲れ」を起こす可能性を指摘しているが、Chromeはすでにバックグラウンドでのサイレント自動更新の仕組みを採用しており、ユーザーはほぼ意識することがない。また、AIシステムが新たな懸念を生む可能性もある。攻撃者も同様にAIを使って脆弱性を生成するようになれば、防御側にはより迅速な対応速度が求められる。Googleのアプローチはまさに攻防対抗の発想のもと、AIを防御側の強力な武器として活用するものだ。

編集後記：AIセキュリティ競争が加速段階へ

今回のChromeの更新ペースの変化から、AIがサイバーセキュリティ業界の運営モデルを根本から変えつつあることがわかる。かつてはセキュリティアップデートが脆弱性の発見から数週間、場合によっては数か月遅れることが常だったが、今やAIによって発見と修正がほぼ同時進行で行われるようになった。これによりゼロデイ脆弱性が悪用されるリスクが低減されるだけでなく、業界全体がセキュリティプロセスを見直すことを迫られている。

ただし、AIは万能の解決策ではない。AIへの過度な依存は人手によるレビュー能力の低下を招く恐れがあり、AIモデル自体にもバイアスや脆弱性が存在する可能性がある。Googleはシステムの動作を継続的に監視し、AIが新たな攻撃対象にならないよう確保する必要がある。いずれにせよ、Chromeの「週2回パッチ」はあくまで始まりに過ぎず、今後はより多くのソフトウェアベンダーがこのモデルに倣う姿が見られるかもしれない。

本記事はWIREDより編訳