谷歌Chrome AI安全革命：单月修复1072个漏洞，AI发现潜伏13年的沙箱逃逸漏洞

谷歌宣布AI赋能Chrome安全革命

2026年7月30日，谷歌发布了一份重磅安全更新报告，题为"每一次更新都更强：我们如何在AI时代让Chrome和网络更安全"，详细阐述了AI如何推动Chrome安全体系的全面变革。

创纪录的漏洞修复量：两个版本修复1072个漏洞

Chrome 149和Chrome 150（均于2026年6月发布）共修复了1072个安全漏洞——这比此前23个主要版本（约两年时间）修复的1036个漏洞总和还要多。这是Chrome历史上单月最高的漏洞修复记录。

Gemini AI工具的角色

谷歌将这一突破归功于内部AI模型——特别是基于Gemini的AI代理，它们几乎实现了漏洞生命周期每个阶段的自动化。这些AI工具能够：

• 发现Chrome代码库中的新漏洞
• 分类传入的漏洞报告并确定优先级
• 生成补丁并重写易受攻击的代码
• 审查代码变更以确保合并前的正确性

2026年初，谷歌构建了一个基于Gemini的代理框架，能够以"更高的效率和更低的误报率"发现漏洞。此外，DeepMind在7月21日发布了Gemini 3.5 Flash Cyber，这是一个专门用于发现、验证和修复漏洞的专用模型。谷歌此前在2025年10月还推出了CodeMender，一个能自动检测、修复和重写易受攻击代码的AI代理。

AI发现潜伏13年的沙箱逃逸漏洞

最引人注目的发现之一是一个在Chrome代码库中潜伏超过13年的沙箱逃逸漏洞。该漏洞编号为CVE-2026-15119，是GetUserMedia实现中的一个竞争条件问题，攻击者可利用该漏洞让已被攻破的渲染进程逃逸沙箱，从而诱骗浏览器读取本地文件。谷歌指出，这个基于Gemini的AI代理发现了一个十多年来所有人工代码审查都未能察觉的漏洞。

更快的安全更新节奏

谷歌宣布了对Chrome发布节奏的多项调整，以跟上AI驱动的漏洞发现速度：

• 每周两次安全补丁：谷歌正在试点从每周一次安全更新增加到每周两次，理由是必须领先于"AI驱动的攻击"。
• 两周主版本发布周期（Chrome 153起）：从2026年9月开始，Chrome将从四周发布周期改为两周发布周期，Chrome 153将作为新周期下的首个版本。该计划最初于2026年3月宣布。
• 扩展稳定版仍保持8周：为需要缓慢更新的企业环境保留。

动态补丁——消除浏览器重启

谷歌承认频繁更新要求重启浏览器给用户带来巨大负担。公司正在投资"动态补丁"（也称"动态匹配"）技术，可以即时替换后台子进程（如渲染器和GPU）为更新后的二进制文件，从而在大多数情况下消除完全重启浏览器的需要。这目前仍是一个投资方向，而非已发布的功能。

Chrome 151：修复370个漏洞，含7个严重级别

2026年7月29日，谷歌发布了Chrome 151稳定版（Windows/macOS版本151.0.7922.71/.72，Linux版本151.0.7922.71），修复了370个安全漏洞。严重程度分布如下：

严重级别	数量
严重	7
高	71
中	170
低	122

七个严重漏洞包括Compositing组件中的释放后使用漏洞（CVE-2026-17650）、数据验证不足问题，以及其他核心组件中的内存损坏漏洞。Chrome 151还将其XML解析引擎迁移到了内存安全的Rust语言实现，用于不需要XSLT的常见场景。

更广泛的行业背景

虽然搜索预算已耗尽无法验证具体数字，但您提到的行业趋势（微软创纪录的补丁星期二、苹果iOS 26.6的安全修复、Adobe的Chrome扩展补丁以及Oracle在7月的1449个安全补丁）都与一个更广泛的模式一致：2026年中的安全补丁领域已迎来前所未有的规模，而Chrome的AI驱动方法或许是AI工具在规模化漏洞发现和修复方面最引人注目的例子。