Googleは今日、Chromeのセキュリティにおける人工知能と大規模言語モデルの役割について詳細に説明した長文を発表しました。Googleは、脆弱性の評価、修正、テスト、パッチのリリースに1〜2日を要する必要がありますが、「ユーザーがChromeを再起動するのを待つ時間は、N日間の利用リスクを大幅に増加させる可能性がある」、つまりパッチギャップです。ユーザーの再起動の負担を軽減するために、Googleは「動的マッチング」技術に投資しており、これは「ほとんどのケースでブラウザ全体の再起動の必要性を排除することを目指しています」。
この技術は、「バックグラウンドサブプロセス（レンダラーやGPUなど）を更新されたバイナリファイルに即時に置き換える」ことによって実現されます。この方法はChromeのマルチプロセスアーキテクチャを活用しています。Chromeチームは現在、この機能の研究と開発を続けています。
さらに、Googleは「複雑な状況でもシームレスにセッションを復元できる方法を探求しており、より多くの状態をローカルに保存することによって実現します」。Chromeが今年後半に2週間ごとの更新に移行するにつれて、これはますます重要になります。それ以前に、Googleは「シームレスにセッションを復元できることを保証できる場合に自動再起動の好機を探す」ことを望んでいます。MacのChrome 150バージョンでは、保留中の更新があり、開いているユーザーウィンドウがない場合、Googleはブラウザを自動的に再起動します。
例えば、Chrome 150では、macOS上でアプリケーションがすべてのウィンドウを閉じた後もバックグラウンドで実行され続ける独自のアプリケーション状態を利用する変更を導入しました。
GoogleはChromeのセキュリティ向上のために動的マッチング技術を開発中
Googleはまた、2023年に始まった脆弱性を発見するための大規模言語モデルの最新の利用法についても議論しました。年初に、GoogleはGeminiや他のモデルを利用して「より高い効率と低い誤報率で、より広範なChromeコードベースの脆弱性を見つける」ための代理アーキテクチャを作成しました。注目すべき発見は、コードベースに13年間存在していた脆弱性です。セキュリティに関しては、いくつかの興味深いプロセスの詳細が共有されました：私たちのAIは、一般的なインターネットアクセスがない閉じられたマシン上で、静的環境でソースコードを厳密に分析します。
私たちはまた、これらの内部スキャンのために専用の設定を利用し、すべてのネットワーク要求を傍受し、発信アプリケーションと宛先の厳格な許可リストに基づいて、疑わしいモデル活動をブロックします。
さらに、私たちは決して制限のないモードでモデルを実行せず、サブエージェントがローカルシステムを変更したり、指定されたソースコードディレクトリ以外のファイルにアクセスすることを厳格に制限しています。私たちは何年にもわたりGoogle DeepMindおよびProject Zeroと密接に協力しており、BigSleepやCodeMenderプロジェクトにも関与しています。これらのツールは私たちの継続的インテグレーション（CI）システムにネイティブに統合されており、24時間ごとに実行されて安全な脆弱性を積極的に検出します。この統合は顕著な成果を上げており、5月だけで20以上の脆弱性を生産環境に入るのを阻止しました。その中には重要なS1+問題も含まれています。
脆弱性を解決するために、現在はマルチエージェントワークフローがあり、大規模言語モデルがほとんどの脆弱性に対して候補修正案を生成します：特定の問題のコンテキストを導入した後、修正エージェントが複数の候補修正案を返します。その後、評価エージェントがどれが最良の選択であるかを評価し、開発者が修正を評価するための他の関連文書を生成します。修正エージェントと評価エージェントは循環的に機能し、典型的なコードレビュー過程をシミュレートして、コードが正常に機能し、ChromiumおよびGoogleのスタイルガイド、ならびに他のローカルコード慣行に準拠していることを確認します。
テスト作成エージェントは修正のためのテストを作成するのを助け、これらのエージェントはChromeがサポートするさまざまなプラットフォームと構成でテストが正常に実行されることを保証し、開発者が修正をレビューする前に数週間の開発時間を節約します。このプロセスは安全な修正の数を大幅に増加させました：最近の2つのマイルストーンであるChrome 149と150では、1072の安全な脆弱性を修正し、前の23のマイルストーンで修正された安全な脆弱性の総数を超えました。