GoogleのAIが実力を発揮：2026年6月のChrome脆弱性修正数が過去2年間の合計を超える

サイバーセキュリティの分野で、注目すべきトレンドが加速している。Googleが最新公表したデータによると、2026年6月の1か月間だけで、ChromeブラウザチームがAIツールを用いて修正した脆弱性の数が、2024年と2025年の2年間の合計を上回った。この画期的な成果により、AIのソフトウェアセキュリティにおける役割は補助的なツールから中核的な生産力へと躍進した。

AIによる脆弱性修正：桁違いの飛躍

TechCrunchの報道によると、Googleのセキュリティチームは6月、社内開発の大規模言語モデル（LLM）ベースの脆弱性スキャン・分析システムを活用し、Chromeのコードベースに対して包括的な監査を実施した。このAIシステムは、潜在的なメモリ安全性の脆弱性、ロジック上の欠陥、ゼロデイ脆弱性の亜種を自動的に検出し、修正案を生成する。最終的に、チームは30日間で200件以上の脆弱性修正パッチを提出・マージした。これに対し、直前の2年間の合計は約180件にとどまっており、AIが脆弱性修正の効率を数倍に引き上げたことを意味する。

専門家がここ2年間繰り返し警告してきたように、Microsoftやそして今やGoogleのような一部の企業は、LLMとAIツールを活用して急増する脆弱性を発見・修正している。しかし、このトレンドには無視できないリスクも伴っている。

Microsoftは昨年、Azure Security Centerに同様のAI脆弱性発掘システムをいち早く導入し、月次で検出される高リスク脆弱性の数が4倍に増加したと報告している。Googleの今回の成果は、AIが従来のセキュリティ運用モデルを根本から変えつつあることをさらに裏付けるものだ。受動的な対応から能動的な予測と自動修正へのシフトが進んでいる。

編集後記：AIセキュリティの両刃の剣は実験段階に突入

AIによる脆弱性修正の爆発的な成長は偶然ではない。過去5年間で、深層学習ベースのコード解析技術が急速に成熟し、特にLLMのコードセマンティクス理解能力が大幅に向上した。しかし、これは根本的なパラドックスも生み出している。企業がAIを使って脆弱性修正を加速する一方で、攻撃者も同様にAIを活用して未修正の脆弱性をより迅速に発見・悪用できるようになっているのだ。例えば、研究者はすでにLLMに特定ソフトウェアへの攻撃ペイロードを自動生成させることを実証している。Googleが今回の成果を大々的に発表したことは、技術力の誇示である一方、ブラックマーケットコミュニティによるAIの武器化を意図せず加速させる可能性もある。

さらに、AIによる修正そのものも信頼性の問題を抱えている。LLMが生成したパッチにはロジック上の欠陥が含まれる可能性があり、人間によるレビューが必要だ。Googleはシステムが厳格なテストを経ていると主張しているが、自動化が進む中でAIが新たな脆弱性を生み出した場合、その影響は予測困難になる。業界ではAIによる脆弱性修正に向けた安全な蒸留メカニズムの確立が急務となっている。

Chromeエコシステムへの影響と今後

世界で最も広く使われているブラウザであるChromeのセキュリティは、数十億人のユーザーに直接影響する。AIがもたらす迅速な修正能力は、ゼロデイ脆弱性の露出ウィンドウを縮小するのに役立つ。しかし専門家は、GoogleがAIに過度に依存し、従来の人的監査・ファジングテスト・ペネトレーションテストを軽視すれば、セキュリティ体制が脆弱になる恐れがあると指摘する。理想的なアプローチは、AIを人間の専門家の代替としてではなく、拡張ツールとして活用することだ。

Googleは、このAIシステムをChromiumコミュニティにオープンソースとして提供し、ブラウザエコシステム全体のセキュリティ向上を推進していくと表明している。また、悪意あるAIが生成する脆弱性悪用コードを検出するためのAI対抗防御技術の研究開発も進めている。AIとセキュリティをめぐるこの競争は、まだ始まったばかりだ。

本記事はTechCrunchを基に編集・翻訳したものです。