Hugging FaceとOpenAIの一件がなおニュースをにぎわせているなかで、グーグルはChromeの脆弱性発見にAIをどう使い、そのAIが予期しない振る舞いをするリスクをどう抑えているかを説明し、あえて「AIは安全の守り手だ」という筋立てを前面に押し出した。その選択は注目に値する。
「私たちのAIは、ソースコードを保存された状態のまま解析します。動かしているのは、一般のインターネットに接続できない、閉じた環境のマシンです」とグーグルは述べる。さらに、「こうした社内スキャン専用の環境を用意しており、そこではすべてのネットワーク要求を横取りしたうえで、要求元のアプリケーションと接続先に基づく厳格な許可リストを適用し、モデルの不審な動きを遮断しています」という。
AIを脆弱性の発見・トリアージ・修正にどう使っているか
グーグルは自らの取り組みを、発見、トリアージ、修正の三つに整理している。発見にAIを使うこと自体は新しくない。グーグルによれば「何年も前から」続けてきたという。実際、2023年にはファジングのカバー範囲を広げるためにLLMを使い始め、翌年にはそのLLMに「脆弱性研究のための専用ツール」を持たせている。
より最近では、AIによる脆弱性発見エージェント「Big Sleep」を投入し、V8 JavaScriptエンジンやグラフィックス処理の基盤部分に潜む欠陥を掘り起こした。さらに、Chromeのコードベース全体にGeminiを差し向けるエージェントハーネスも動かしており、こちらは13年間知られぬまま放置されていた脆弱性を見つけ出した。
トリアージについては、報告書を1件仕上げるのに熟練した人間の担当者が30分以上かかることもあった検証作業を、AIで自動化しているという。
「トリアージの工程は、自動化されたやり方へと着実に移行してきました」とChromeセキュリティチームは説明する。処理量と精度を上げるために、「ルールベースの仕組みとAIを組み合わせて」いるという。具体的には、まずスパムや重複といったノイズをふるい落とし、次に不具合そのものを再現し、日付や深刻度スコアといった必須の情報を付け加える。そのうえで、脆弱性の報告を「しかるべき構成要素と人間の担当者」へ自動的に振り分ける。その結果として、あくまでグーグルの概算だが、「開発者の時間を月に数百時間節約」できているという。空いた時間は、ほかのセキュリティ課題に振り向けられる。
