Google は 2026 年 7 月 30 日（現地時間）、Chrome のセキュリティ対策に Gemini を活用した AI エージェントを本格導入したことを公式ブログで明らかにしました。
脆弱性の発見から修正までの一連の作業を AI が担うようになったことで、Chrome 149 と Chrome 150 の直近 2 回のアップデートだけで 1,072 件の脆弱性が修正されており、これは過去 23 バージョン分の合計を上回る件数です。
見つかりにくかった脆弱性も検出
AI エージェントは Chrome のコードベース全体を継続的にスキャンし、人力では見落とされがちだった脆弱性も検出しています。
今回の発表では、13 年以上にわたってコードベースに残っていたサンドボックスエスケープの脆弱性が AI によって発見された事例が紹介されており、侵害されたレンダラーがブラウザを騙してローカルファイルを読み取れてしまう内容で、長期間気付かれずに残っていました。
修正作業も複数の AI エージェントが分担する体制に移行し、修正候補を作成するエージェント、その内容を評価するエージェント、テストを作成するエージェントがそれぞれ役割を持ち、開発者のレビューに入る前段階の作業を担っています。
この体制により、2026 年 5 月だけで S1+ (最重要) の脆弱性を含む 20 件以上が本番環境へ到達する前にブロックされたとしています。
更新頻度の引き上げと再起動不要の適用
修正が公開されてからユーザーの手元に届くまでの期間が長いほど、その間に攻撃者が悪用するリスクが高まります。Google は現在、週 1 回だったセキュリティアップデートを週 2 回に増やすテストを行っています。
また、Chrome の更新にはブラウザの再起動が必要ですが、再起動の通知が出ずに古いバージョンのまま使われ続けるケースもあります。このような状況を防ぐため、macOS 版 Chrome 150 ではウィンドウがすべて閉じられている間、更新の保留を検知すると自動的に再起動する機能がすでに導入されています。
Google はさらに、レンダラーや GPU などのプロセスをバックグラウンドで個別に置き換えることで再起動そのものを不要にする「動的パッチ適用」の開発も進めています。
メモリセーフティへの移行も進行中
脆弱性の多くはメモリ管理に起因するため、Google は C++ コードの安全性強化に加え、Rust などメモリセーフな言語への移行も進めています。
バグの発生率が高いパーサーやコーデックなどの領域を優先的に置き換えることで、根本的な脆弱性の発生自体を減らす狙いがあるとしています。
