Google 宣布 AI 驅動的 Chrome 安全更新

• 發現 Chrome 程式碼庫中的新漏洞
• 分類 收到的漏洞報告並設定優先順序
• 產生修補程式 並重寫有漏洞的程式碼
• 審查 程式碼變更，確保正確性後才合併

2026 年初，Google 建立了一個使用 Gemini 的代理程式框架，能以「更高的效率與更低的誤報率」發現漏洞 。此外，DeepMind 在 2026 年 7 月 21 日發布了 Gemini 3.5 Flash Cyber，這是一個專門用來發現、驗證和修補漏洞的模型 。Google 也在 2025 年 10 月推出了 CodeMender，這是一個能自動偵測、修補並重寫有漏洞程式碼的 AI 代理程式 。

AI 揪出潛藏 13 年的沙箱逃逸漏洞

最令人矚目的發現之一，是一個在 Chrome 程式碼庫中潛伏了 超過 13 年 的 沙箱逃逸漏洞 。這個被標記為 CVE-2026-15119 的漏洞，是 GetUserMedia 實作中的一個競爭條件（race condition），會讓已被攻破的渲染器程序（renderer process）逃脫沙箱，並欺騙瀏覽器讀取本地檔案 。Google 指出，正是 Gemini AI 代理程式發現了這個過去十多年來所有人工程式碼審查都未能察覺的漏洞 。

更快速的安全性更新

為了跟上 AI 驅動的漏洞發現速度，Google 宣布了多項 Chrome 發布週期的變革：

• 每週兩次安全性修補：Google 正在試行從每週一次的安全性更新，改為 每週兩次，理由是為了領先「AI 驅動的攻擊」 。
• 兩週一次的重大更新（Chrome 153 起）：從 2026 年 9 月 開始，Chrome 將從四週一次的重大更新週期，改為 兩週一次，Chrome 153 將是第一個採用新週期的版本 。Google 早在 2026 年 3 月就已宣布此計畫 。
• Extended Stable 仍維持 8 週：為需要較慢更新步調的企業環境保留 。

動態修補——不用再重啟瀏覽器

Google 承認，頻繁的更新需要重啟瀏覽器，對使用者造成極大負擔。為此，該公司正在投資 「動態修補」（dynamic patching）技術，能在背景直接替換子程序（如 Renderer 和 GPU）為更新後的二進位檔案，在大多數情況下無需完整重啟瀏覽器 。目前這仍處於投資開發階段，尚未正式推出。

Chrome 151：修復 370 個漏洞，含 7 個重大風險

2026 年 7 月 29 日，Google 發布了 Chrome 151 Stable 版本（Windows/macOS 為 151.0.7922.71/.72，Linux 為 151.0.7922.71），修復了 370 個安全漏洞 。嚴重程度分布如下：

這七個重大漏洞包含了 Compositing 元件中的釋放後使用（use-after-free）錯誤 (CVE-2026-17650)、資料驗證不足問題，以及其他核心元件的記憶體毀損錯誤 。Chrome 151 也將其 XML 解析引擎轉換為 記憶體安全的 Rust 語言實作，適用於不需要 XSLT 的常見情境 。