2013年からChromeのコードに隠れていた脆弱性が、機械によってついに発見されました。GoogleのGeminiモデルに基づくAI駆動の脆弱性検出システムが、深刻度の高い脆弱性CVE-2026-3545を特定しました。このバグはChromeのナビゲーションコンポーネント内に存在し、サンドボックス脱出に該当するため、攻撃者がブラウザの保護された隔離層を突破して下位のオペレーティングシステムにアクセスできる可能性があります。この脆弱性のCVSSスコアは10点満点中9.8です。
誰も招待しなかった13年間のゲスト
この脆弱性は2026年5月上旬にリリースされたChromeバージョン145で修正されました。しかし、この脆弱性を悪用するコードは、2013年頃から存在していたと報告されています。この脆弱性を発見したAIエージェントは、歴史的なCVEデータベースとGitコミット履歴を組み合わせて、コードが時間とともにどのように進化してきたかを体系的に追跡し、非活性なコードを隔離して処理する制限されたマシン上で分析を実行しています。
Googleは、AIシステムを代替ではなく補完的なものとして位置づけました。チームは、2026年においてもファジング、人間の研究者、外部からの報告がChromeのセキュリティ対策に引き続き重要な貢献を続けていると指摘し、外部からの提出が増加したため、Chrome脆弱性報奨プログラムの調整が行われました。
パッチ番号は信じがたいほどです
Chrome 149および150は合計で1,072のセキュリティバグを修正しました。この1組のリリースだけで、過去23の安定版Chromeマイルストーンの合計を上回りました。2026年7月下旬までに、その年の合計セキュリティ修正は1,800を突破し、Chrome 151単体でさらに370のパッチが追加されました。
Googleは、脆弱性が内部でパッチ適用されてからユーザーにその修正が届くまでの期間を短縮するため、週2回のセキュリティリリースのパイロットプログラムにも移行しました。Googleは、自動的な優先順位付けとパッチ生成を目指しており、発見からパッチ適用までのプロセスは、将来的に数日から数時間に短縮される可能性があります。
これがセキュリティの状況に与える意味
CVE-2026-3545の発見は、Chromeを超えた影響をもたらしています。GoogleのAIエージェントが使用した手法——現在のコードを過去のCVEパターンやGit履歴と照合する方法——は、ほぼすべての大規模なオープンソースコードベースに適用可能です。Linuxカーネル、主要なJavaScriptランタイム、暗号ライブラリ、Chrome以外のブラウザエンジンなどは、これまでこの種の遡及的AI分析を受けていない、長年にわたって蓄積されたコードを抱えています。
暗号通貨インフラにおいて、これは特に重要です。ウォレット、ノード、分散型アプリケーションはブラウザ内で動作するか、インターフェース層としてブラウザのセキュリティモデルに依存しています。Chromeにおけるサンドボックス脱出の脆弱性は、ブラウザ拡張機能やWebインターフェースを通じて動作するあらゆるものの攻撃面となる可能性があります。この層で13年間検出されなかったCVSS 9.8のバグは、暗号通貨開発者がブラウザレベルのセキュリティ仮定をどのように考えているかを見直すきっかけとなるべきものです。