Chrome 兩個版本修補 1,072 個漏洞：Gemini 點樣加快搵 bug 同執手尾
由發現、分類到候選修補，AI 已經踩入整條資安流水線
Google 公布，Chrome 149 同 150 合共修補 1,072 個安全漏洞，多過對上 23 個大版本嘅 1,036 個。單睇數字的確幾嚇人，不過呢批漏洞唔係一個月內突然生晒出嚟，當中有啲已經藏喺程式碼好多年。真正變快嘅係搜尋、分類同修補速度，而數字主要來自 Google 自己統計，解讀時要留返呢層。
Gemini 點樣搵到藏咗十幾年嘅漏洞
Chrome 團隊話，佢哋喺 2026 年初整咗一套 Gemini agent，俾模型閱讀 Chrome 程式碼、過往 CVE、Git 紀錄同各部分嘅安全規則，再重複掃描同互相覆核結果。官方舉嘅例子係一個存在超過 13 年嘅 sandbox escape，攻擊者控制咗 renderer 之後，有機會呃瀏覽器讀取電腦本機檔案。呢種跨大量程式碼搵舊邏輯漏洞，正正係 LLM 開始幫到手嘅地方。
模型亦冇取代傳統 fuzzing。Google 自己都話，牽涉多個組件、要靠一連串特定操作先觸發嘅問題，fuzzing 仍然特別有效。Gemini agent 就似加多一隊可以日夜翻舊帳嘅研究員，靠語意理解搵可疑邏輯，再交畀現有工具同工程師核實。1,072 入面有幾多由 AI 首先發現，Google 未有逐項交代，所以唔應該將成批漏洞全部算入 Gemini 功勞。
圖片：Google
最慳時間嘅位置，可能係 triage
收到漏洞報告之後，Chrome 嘅自動流程會先篩垃圾同重複個案，再嘗試重現問題、補上 stack trace、判斷漏洞幾時加入程式碼、初步評級，最後分派畀相關組件負責人。工程師仍然可以改嚴重程度同補充判斷。Google 估計呢套流程每月慳到數百個開發工時，呢點其實好關鍵：AI 大量搵到 bug 之後，如果人手仲要逐張單由頭執，成條隊只會塞喺入口。
到改碼階段，模型會產生多個候選修補方案，再由另一個 critic agent 檢查風格、功能同測試結果，兩邊來回幾輪，模擬一般 code review。測試 agent 亦會為唔同平台補測試，但最後仍由開發者審核。Google 仲話 Big Sleep 同 CodeMender 已接入持續整合系統，每 24 小時掃一次改動，單計 5 月就阻止超過 20 個安全問題進入正式版本。成件事係人機協作，唔係 Gemini 自己改完程式就直接推出。
圖片：Google
修得多，唔等於 Chrome 突然危險咗
Chrome 149 首個穩定版更新已經列出 429 個安全修補，入面包含 critical 同 high 級漏洞。不過「安全漏洞」呢個總數涵蓋唔同嚴重程度，亦唔代表全部已經有人利用。另一邊，Chrome 149 之後的確再修補咗已遭利用嘅 V8 漏洞 CVE-2026-11645，證明更新有現實急切性；但將呢一宗零日漏洞同其餘過千項混埋講，會誇大實際威脅。
AI 加快攻防，更新速度開始追唔上
Google 最擔心嘅環節係 patch gap：修補程式放入公開 Chromium 程式碼之後，攻擊者可以倒推原本漏洞，但穩定版更新可能仍要等數星期，推出後又要等用戶重啟。Chrome 正試行每星期兩次安全更新，亦研究毋須完整重啟嘅動態修補。未做到之前，見到右上角更新提示就盡快重啟；公司同學校嘅 IT 團隊亦要檢查裝置有冇長期停喺舊版，淨係背景下載咗更新，唔代表修補已經套用。
Microsoft 同期亦一次過修補 570 個漏洞，官方同樣話 AI 正加快發現同分析，但兩間公司數字一齊升，未足以證明升幅全由 AI 造成。較實際嘅啟示係，資安工作嘅樽頸正移去驗證、測試、推出同裝機。開發團隊開始用 agent 掃碼之前，最好先準備好自動 triage、重現環境、code review 同更新部署，否則模型每日交幾百張漏洞單返嚟，只會將舊問題變成更大條 queue。
參考來源
- TechCrunch — Google says it fixed more Chrome bugs in June than over the past two years, thanks to AI — original report
- Google：Stronger with every update — 1,072 個漏洞、Gemini agent、triage、候選修補、patch gap 同更新策略嘅主要官方來源
- Chrome 149 Stable Channel Update — 核對 Chrome 149 首批 429 個安全修補同公開嚴重程度
- Chrome 149 後續安全更新 — 確認 CVE-2026-11645 已有 exploit 喺真實環境出現
- Microsoft：AI 時代嘅 Windows 漏洞管理 — 核對 Microsoft 點樣用 AI 掃描、驗證同產生候選修補，亦確認人手仍會審核
- TechCrunch：Microsoft 一次修補 570 個漏洞 — 核對同期 570 個修補同當中已遭利用漏洞嘅背景
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
