Googleは9月8日、Chromeのリリース周期を従来の4週間から2週間に短縮すると発表した。新周期はデスクトップ・iOS・Android向けにリリースされたChrome 153から適用される。AIによる脆弱性の発見・修正が急速に進む中、パッチが行き渡るまでの空白期間(N-dayパッチギャップ)を最小化する狙いだ。

背景にあるAI活用の脆弱性対応

GoogleはGeminiを含むAIツールを使い、Chrome開発における脆弱性の発見・トリアージ・修正プロセスを自動化してきた。その成果として、Chrome 149と150では過去23マイルストーンの合計を上回る1,072件のセキュリティバグを修正済みだ。5月には本番リリース前の段階で20件以上の脆弱性をブロックしたという。

Chromeのコードベースは97%が厳密なバッファ警告付きでクリーンにコンパイルされる状態になっており、2,300以上のサードパーティ依存関係のうち約1,700がユーザーに配布されているとGoogleは明かしている。AIによる脆弱性検出が工業規模で進む一方、それを実際のユーザーに届けるスピードがボトルネックになっていたことが、今回の周期短縮の背景にある。

リリース周期短縮の具体策

Googleは周期短縮に合わせて複数の改善を導入する。ブラウザの再起動なしに適用できる「動的パッチング」、週2回のセキュリティ更新リリース、macOSでのゼロウィンドウ自動再起動機能などだ。あわせてMiraclePtrやSpanificationといったメモリ安全性強化策、Rustへの段階的な移行も進めている。

TechCrunchによれば、Chromeは2021年にも同様の周期短縮(6週間から4週間)を実施しており、今回はそれに続く2度目の短縮となる。AI技術を活用した自動化ツールやコミュニティからのバグ報告の増加によるパッチ量の拡大、そしてAIを悪用した攻撃の急速な進化への対応が、短縮を後押ししたとみられる。

業界標準になりつつある2週間サイクル

MozillaやMicrosoft、Braveもすでに2週間周期への移行を進めており、業界全体でリリースサイクルの短縮が標準になりつつある。背景には、Brave、DuckDuckGo、PerplexityのCometといった新興ブラウザとの競争もある。AIを活用した新機能を素早く投入する必要性が、セキュリティ対応の高速化とあわせてリリース周期の短縮を後押ししている。

ユーザーにとっては、セキュリティパッチをより頻繁に受け取れるようになる一方、ブラウザ側の自動更新体制への依存度がさらに高まることになる。Chromeを筆頭に主要ブラウザの更新体制が今後も進化を続けるかが、AI時代のブラウザセキュリティを左右する焦点になる。