13年隠れていたChromeの穴、AIが見つけた
Googleが、直近2回のアップデートでChromeの脆弱性1072件を修正したと発表。直前23回ぶんの合計を上回る数で、穴を探すのも直し方の案を書くのもAIが担っている。
ひなた：ふぁ〜……部室の棚の、いちばん奥から、干からびたみかんが出てきたのです。……これ、わたしが入部する前からいる気がするのです。
みずき：…いる、って言い方やめて。捨てて。あと手を洗って。
ひかり：あーっ、それで思い出したっ! Chromeにもね、13年ずーっと誰にも見つかってなかった穴があったんだってっ! 13年だよっ、わたしがまだ3歳のころからずっとっ!
ことね：ええ、Googleが先日そう発表したの。正確には、そこだけの話じゃなくてね。直近2回のアップデート——Chrome 149と150——で、セキュリティの穴を1072件ふさいだそうよ。これが、その直前23回ぶんの合計より多いの。アップデートはだいたい4週間おきだから、ざっと2年かけて直してきた量を、2回で追い越したことになるわ。
ひかり：えっ、急にっ!? みんな一斉に目が良くなったのっ!? なにか起きたのーっ?
ことね：探す係が増えたのよ。DeepMindとProject Zeroが一緒に作った「Big Sleep」というAIが、JavaScriptを動かす部分や画面を描く部分を掘って回っていて、それとは別にGeminiがコード全体を見て歩いている。しかも、いまはほとんどの穴について、直し方の案までAIが書いているそうなの。……ただ、何件をAIが、何件を人が見つけたかの内訳は出していないわ。
ひかり：その13年ものの穴って、見つかったら何ができちゃうやつなのっ?
ことね：サンドボックス脱出、というの。ブラウザは開いているページごとに小さな隔離部屋を作って、その中だけで動かしているのだけれど……その穴を使うと、部屋の外に手を伸ばして、パソコンの中のファイルを読み出させることができてしまう。それが13年、静かに残っていたのよ。
みずき：…13年、誰も気づかなかった。……誰も、ね。
ことね：……そう。そこは誰にも分からない。だから、見つかる数が増えるのは悪い知らせに見えて、じつはいい知らせなの。この前話した、AIが暗号の穴を掘り当てた話と同じ向きね。あとは当てるだけ。macOSのChrome 150からは、ウィンドウを全部閉じているあいだに裏でそっと再起動して、たまった更新を当ててくれるようになったそうよ。
まとめ：13年見つからなかった穴は、13年安全だった証拠ではない。棚の奥は、ときどき開ける。