ปัญญาประดิษฐ์ (AI) ได้ก้าวข้ามจากการเป็นเพียงคำสัญญา และกลายเป็นแรงขับเคลื่อนสำคัญเบื้องหลังความปลอดภัยในเบราว์เซอร์ยอดนิยมที่สุดในโลก Google ประกาศว่า ในเดือนมิถุนายนChrome ได้แก้ไขช่องโหว่ด้านความปลอดภัย 1.072 รายการในเวอร์ชัน 149 และ 150ซึ่งเป็นจำนวนที่มากกว่าจำนวนการแก้ไขทั้งหมดใน 23 เวอร์ชันก่อนหน้ารวมกัน ความสำเร็จครั้งนี้ไม่ใช่เรื่องบังเอิญ บริษัทระบุว่าความก้าวหน้านี้เกิดจากระบบ AI ที่ใช้ Gemini ซึ่งได้เปลี่ยนแปลงวิธีการค้นหา จำแนก และแก้ไขช่องโหว่ไปอย่างสิ้นเชิง
ทีมรักษาความปลอดภัยของ Chrome ใช้แมชชีนเลิร์นนิงมาหลายปีแล้ว แต่การมาถึงของโมเดลภาษาขนาดใหญ่ (LLM) ทำให้พวกเขาสามารถทำงานอัตโนมัติในกระบวนการต่างๆ ที่ก่อนหน้านี้ต้องใช้เวลาทำงานด้วยตนเองหลายร้อยชั่วโมงจากข้อมูลของ Google เอง ในเดือนพฤษภาคมเพียงเดือนเดียว พวกเขาป้องกันช่องโหว่มากกว่า 20 รายการไม่ให้เข้าสู่การใช้งานจริง รวมถึงช่องโหว่ร้ายแรงที่ถูกใช้ประโยชน์ไปแล้วข่าวนี้ได้รับการรายงานจากสื่อหลายแห่ง ซึ่งเห็นพ้องกันว่า AI กำลังเปลี่ยนแปลงนิยามของความปลอดภัยทางไซเบอร์ในระดับอุตสาหกรรม
สถิติที่ไม่เคยมีมาก่อนในงานราชทัณฑ์
ตัวเลขบ่งบอกได้ด้วยตัวเอง Chrome เวอร์ชัน 149 และ 150 ที่วางจำหน่ายในเดือนมิถุนายน มีการแก้ไขช่องโหว่ด้านความปลอดภัยถึง 1.072 รายการ ในขณะที่ 23 เวอร์ชันก่อนหน้านี้รวมกันมีเพียง 1.036 รายการหมายความว่ามีการแก้ไขช่องโหว่มากกว่าในเดือนเดียว มากกว่าที่แก้ไขไปในสองปีที่ผ่านมารายงานทางเทคนิคที่เผยแพร่โดย Google ระบุว่า ตัวจัดการช่องโหว่ขนาดใหญ่ (LLMs) กำลังปลดล็อกความสามารถที่ไม่เคยมีมาก่อนสำหรับการค้นหาช่องโหว่โดยอัตโนมัติ ผลักดันขีดจำกัดของความเชี่ยวชาญของมนุษย์ บริษัทเน้นย้ำว่าวิธีการนี้ไม่ได้มาแทนที่วิธีการแบบดั้งเดิม แต่เป็นการเสริมซึ่งกันและกัน ทำให้สามารถครอบคลุมซอร์สโค้ดได้กว้างขึ้นมาก
โปรแกรมให้รางวัลสำหรับการค้นพบช่องโหว่ (Vulnerability Rewards Program หรือ VRP) ก็ได้รับผลกระทบเช่นกัน ภายในเดือนมีนาคม 2026 Google ได้รับรายงานมากกว่าที่ได้รับตลอดทั้งปี 2025 ทำให้พวกเขาต้องปรับเปลี่ยนข้อกำหนดของโปรแกรมเพื่อจัดลำดับความสำคัญของข้อมูลที่แตกต่างจากสิ่งที่เครื่องมืออัตโนมัติตรวจพบอยู่แล้วAI ช่วยกรองสแปม จำลองการพิสูจน์แนวคิด และกำหนดระดับความรุนแรงช่วยประหยัดเวลาการทำงานของนักพัฒนาได้หลายร้อยชั่วโมงในแต่ละเดือน
ตัวแทน AI ที่ค้นพบข้อบกพร่องอายุ 13 ปี
หนึ่งในสิ่งที่ค้นพบที่น่าทึ่งที่สุดของระบบใหม่นี้คือ การค้นพบช่องโหว่การหลุดออกจากแซนด์บ็อกซ์ที่ซ่อนอยู่ในโค้ดของ Chrome มานานกว่า 13 ปี ช่องโหว่นี้ถูกจัดอยู่ในหมวดหมู่ CVE-2026-3545 โดยมีคะแนน CVSS 9.8 (วิกฤต) ซึ่งจะทำให้โปรแกรมแสดงผลที่ถูกบุกรุกสามารถหลอกให้เบราว์เซอร์อ่านไฟล์ในเครื่องคอมพิวเตอร์ได้เอเจนต์ที่ใช้ Gemini ซึ่งสร้างขึ้นในช่วงต้นปี 2026 มีหน้าที่ในการตรวจจับช่องโหว่นี้โดยการวิเคราะห์ซอร์สโค้ดทั้งหมดของ Chrome ในระดับรายละเอียดที่ทีมงานมนุษย์ไม่สามารถดูแลรักษาได้อย่างยั่งยืน
Google อธิบายว่าระบบนี้ผสานรวมเอเจนต์เฉพาะทางหลายตัวเข้าด้วยกัน บางตัวสแกนโค้ดเพื่อค้นหารูปแบบเชิงความหมาย บางตัวตรวจสอบว่าช่องโหว่นั้นมีอยู่จริง และบางตัวสร้างแพทช์ที่เป็นไปได้ การตรวจสอบโดยมนุษย์ยังคงเป็นสิ่งจำเป็นก่อนที่จะนำการเปลี่ยนแปลงใดๆ ไปใช้แต่ AI ช่วยเร่งกระบวนการนี้ได้อย่างมาก ดั๊ก เทอร์เนอร์ ผู้อำนวยการฝ่ายวิศวกรรมของ Chrome กล่าวว่า LLM ได้เปลี่ยนแปลงเศรษฐศาสตร์ของความปลอดภัยทางไซเบอร์ไปอย่างสิ้นเชิง โดยเปลี่ยนการค้นหาช่องโหว่ให้เป็นการดำเนินงานอัตโนมัติในระดับอุตสาหกรรม
ระบบตัวแทน Gemini ทำงานอย่างไร
ระบบของ Google ไม่ใช่โมเดลเดียว แต่เป็นการประสานงานของเอเจนต์ที่ทำงานเป็นห่วงโซ่ เอเจนต์ตรวจจับจะสแกนโค้ดของ Chrome เพื่อหารูปแบบที่อาจบ่งชี้ถึงช่องโหว่ โดยใช้การทำความเข้าใจโค้ดเชิงความหมาย ไม่ใช่แค่รูปแบบข้อความ เอเจนต์ตรวจสอบจะยืนยันว่าสิ่งที่พบนั้นเป็นของจริงหรือเป็นผลลัพธ์ที่ผิดพลาดเมื่อได้รับการยืนยันแล้ว เอเจนต์แก้ไขจะสร้างแพตช์ที่เป็นไปได้หลายรายการในขณะที่เอเจนต์ประเมินแพตช์จะเปรียบเทียบแพตช์เหล่านั้นกับกฎและข้อกำหนดด้านรูปแบบของโปรเจกต์ Chromium
กระบวนการทั้งหมดนี้ทำงานบนโค้ดที่จัดเก็บไว้ในเครื่องที่ล็อกไว้ โดยไม่มีการเข้าถึงอินเทอร์เน็ตทั่วไป เพื่อลดความเสี่ยง Google ยังได้ผสานรวมเครื่องมือ AI เข้ากับระบบการรวมอย่างต่อเนื่อง (CI) ซึ่งทำงานทุก 24 ชั่วโมงในทุกระดับการสร้างทำให้สามารถตรวจจับช่องโหว่ด้านความปลอดภัยได้ก่อนที่จะเข้าสู่ขั้นตอนการผลิตบริษัทระบุว่าโมเดลได้สร้างข้อเสนอแนะในการแก้ไขสำหรับช่องโหว่ส่วนใหญ่ที่ประมวลผลแล้ว โดยได้รับการสนับสนุนจากข้อเท็จจริงที่ว่าChrome ติดตั้งโมเดล AI ขนาด 4GBเพื่อเพิ่มประสิทธิภาพงานในเครื่อง
การทำให้กระบวนการแก้ไขช่องโหว่เป็นไปโดยอัตโนมัติ
AI ไม่เพียงแต่ค้นหาช่องโหว่เท่านั้น แต่ยังมีส่วนร่วมในวงจรชีวิตของช่องโหว่ทั้งหมด ตั้งแต่การตรวจจับไปจนถึงการสร้างแพทช์ รวมถึงการจำแนกประเภทรายงานและการมอบหมายงานระบบจะกรองสแปมและข้อมูลซ้ำซ้อน จำลองการทดสอบการพิสูจน์แนวคิด กำหนดระดับความรุนแรง และส่งต่อรายงานแต่ละฉบับไปยังทีมที่รับผิดชอบ Google ประมาณการว่ากระบวนการนี้ช่วยประหยัดเวลาการทำงานของนักพัฒนาได้หลายร้อยชั่วโมงต่อเดือน
เมื่อแพทช์พร้อมแล้ว จะถูกรวมเข้าโดยตรงจากที่เก็บหลักไปยังสาขาเสถียรที่ใช้งานอยู่ของ Chrome ซึ่งจะได้รับการตรวจสอบอย่างต่อเนื่องเพื่อป้องกันช่องโหว่ใหม่ๆบริษัทได้เริ่มใช้ระบบอัตโนมัติในการสร้างบันทึกการเผยแพร่และคำอธิบาย CVEซึ่งช่วยลดปัญหาคอขวดที่เกิดจากมนุษย์ ในเดือนพฤษภาคม ระบบนี้ช่วยป้องกันช่องโหว่มากกว่า 20 รายการไม่ให้เข้าสู่การใช้งานจริง รวมถึงช่องโหว่ที่จัดอยู่ในระดับวิกฤตหนึ่งรายการ ด้วย
การอัปเดตที่รวดเร็วขึ้นและการแก้ไขข้อบกพร่องแบบไดนามิก
การค้นหาและแก้ไขช่องโหว่ไม่ได้หมายความว่าจะช่วยปกป้องผู้ใช้ได้ทันที เมื่อการแก้ไขปรากฏในโค้ดโอเพนซอร์ส ผู้โจมตีสามารถศึกษาโค้ดนั้นได้ก่อนที่แพทช์จะไปถึงคอมพิวเตอร์ทุกเครื่อง เพื่อลดช่วงเวลาแห่งความเสี่ยงนี้Google Chrome จึงเปลี่ยนจังหวะการอัปเดตเป็นทุกสองสัปดาห์โดยมีการอัปเดตความปลอดภัยรายสัปดาห์ และกำลังทดสอบการปล่อยอัปเดตความปลอดภัยสองครั้งต่อสัปดาห์นอกจากนี้ยังกำลังพัฒนาระบบแพตช์แบบไดนามิกที่จะช่วยให้สามารถติดตั้งการอัปเดตได้โดยไม่ต้องรีสตาร์ทเบราว์เซอร์
ตั้งแต่ Chrome เวอร์ชัน 150 เป็นต้นไป เบราว์เซอร์จะสามารถรีสตาร์ทอัตโนมัติบน macOS เพื่อติดตั้งการอัปเดตที่ค้างอยู่เมื่อทำงานอยู่เบื้องหลังโดยไม่มีหน้าต่างใดเปิดอยู่ เป้าหมายระยะยาวคือการทำให้ Chrome ได้รับการอัปเดตอย่างต่อเนื่อง โดยผสมผสานการแก้ไขข้อบกพร่องแบบไดนามิก การรีสตาร์ทอัตโนมัติในช่วงเวลาที่ไม่มีการใช้งาน และการกู้คืนเซสชันที่ได้รับการปรับปรุงซึ่งป้องกันการสูญเสียแท็บที่เปิดอยู่นอกจากนี้ Google ยังกำลังเปลี่ยนไปใช้ภาษาที่ปลอดภัยต่อหน่วยความจำ เช่น Rustเพื่อกำจัดช่องโหว่ด้านความปลอดภัยทั้งหมด
บริษัทได้ยืนยันว่าทีมรักษาความปลอดภัยของ Chrome เริ่มใช้ LLM ในปี 2023 ร่วมมือกับ DeepMind และ Project Zero ในการพัฒนาเครื่องมือต่างๆ เช่น Big Sleep และในช่วงต้นปี 2026 ได้สร้างเอเจนต์ที่ใช้ Gemini ซึ่งได้ปฏิวัติการตรวจจับช่องโหว่แนวโน้มนี้ไม่ได้เกิดขึ้นเฉพาะกับ Google เท่านั้น Microsoft ก็ได้แก้ไขช่องโหว่มากถึง 570 รายการในเดือนมิถุนายนด้วย AIในขณะที่ Apple ก็มีตัวเลขใกล้เคียงกับปีก่อนๆ ซึ่งแสดงให้เห็นว่าการบูรณาการ AI เข้ากับระบบรักษาความปลอดภัยนั้นสร้างความแตกต่างอย่างมาก
อัตราการค้นพบช่องโหว่สูงมากจนทีมงานต้องเริ่มปล่อยแพทช์รักษาความปลอดภัยสัปดาห์ละสองครั้ง ซึ่งเป็นความถี่ที่สูงกว่าปกติในอุตสาหกรรมGoogle ประมาณการว่าการจัดประเภทอัตโนมัติช่วยประหยัดเวลาทำงานได้หลายร้อยชั่วโมงต่อเดือนแม้ว่าจะยอมรับว่าการวัดนี้ไม่แม่นยำก็ตาม บริษัทเน้นย้ำว่ามนุษย์ยังคงมีส่วนร่วมอยู่: แพทช์ที่สร้างโดย AI จะถูกส่งไปยังนักพัฒนาเพื่อตรวจสอบและอนุมัติขั้นสุดท้าย และระบบจะไม่รวมแพทช์โดยอัตโนมัติ
การค้นพบช่องโหว่ที่มีอายุ 13 ปี แสดงให้เห็นถึงศักยภาพของ AI ในการค้นหาปัญหาที่วิธีการแบบดั้งเดิมมองข้ามไปGoogle วางแผนที่จะใช้ AI ต่อไปเพื่อป้องกันข้อผิดพลาดใหม่ๆโดยการระบุและกำจัดข้อผิดพลาดเหล่านั้นให้เร็วที่สุดเท่าที่จะเป็นไปได้ในขณะที่ส่งโค้ด บริษัทกำลังแก้ไขปัญหาในลำดับชั้นของช่องโหว่ที่อาจส่งผลกระทบต่อโค้ดที่ถือว่าปลอดภัยในตัวเอง ซึ่งเป็นกลยุทธ์ในการป้องกันการเกิดช่องโหว่ต่อเนื่องกัน
สำหรับผู้ใช้งาน คำแนะนำที่ได้ผลยังคงเหมือนเดิม: Chrome จะดาวน์โหลดการอัปเดตโดยอัตโนมัติ แต่ยังคงต้องรีสตาร์ทเพื่อใช้งานการอัปเดตส่วนใหญ่ ขอแนะนำให้ใส่ใจกับการแจ้งเตือนการอัปเดต และปิดและเปิดเบราว์เซอร์ใหม่เมื่อเหมาะสม ระบบรักษาความปลอดภัยของ Chrome ได้ก้าวหน้าไปอย่างมากด้วย AIแต่การเฝ้าระวังอย่างต่อเนื่องยังคงจำเป็นในระบบนิเวศที่ผู้โจมตีสามารถใช้เทคโนโลยีเดียวกันนี้เพื่อค้นหาช่องโหว่ได้เช่นกัน
