Chrome 浏览器正在经历史上最密集的安全更新周期。Google 将补丁发布节奏从每月一次加速到每周两次，背后推手是 AI 在漏洞挖掘中的大规模应用。

发生了什么

据 WIRED 报道，Google 在 2024 年 6 月发布了两次 Chrome 安全更新，修复的漏洞数量超过了此前 23 次更新的总和。这一异常数据直接促使 Google 调整更新策略：从原来的每月一次安全更新，改为每周两次。

核心变量是 AI 辅助漏洞发现技术的成熟。Google 内部部署的 AI 系统能够自动扫描 Chromium 代码库，识别潜在的安全缺陷。这些工具在 6 月集中输出了大量高质量漏洞报告，导致修复 backlog 激增。

为什么重要

传统漏洞挖掘依赖人工代码审计和外部安全研究者的贡献，发现效率受限于人力。AI 的介入改变了这一格局：

  • 发现速度跃升：AI 可以 7×24 小时不间断扫描代码，且能覆盖人类容易忽略的边界条件。
  • 漏洞类型扩展：AI 擅长发现逻辑错误、内存管理缺陷等传统静态分析工具难以捕捉的问题。
  • 修复压力转移：漏洞发现速度超过修复能力，迫使浏览器厂商必须加快补丁发布节奏。

对于 Chrome 这样拥有数十亿用户的软件，更新频率的调整直接影响全球互联网安全态势。更快的补丁意味着攻击者利用已知漏洞的时间窗口被压缩。

影响与看点

  1. 对用户：更新频率翻倍意味着更频繁的浏览器重启。Google 需要优化静默更新机制，减少对用户的中断。Chrome 已支持后台更新，但部分场景仍需重启。
  2. 对开发者：Chromium 贡献者将面临更短的修复截止日期。AI 生成的漏洞报告可能包含大量误报，需要人工甄别，这对安全团队的人力配置提出更高要求。
  3. 对行业：AI 漏洞挖掘正在成为浏览器安全的新标配。Mozilla 和 Apple 很可能跟进类似策略。但这也引发一个深层问题：当 AI 发现漏洞的速度超过人类修复能力时，安全策略是否需要从“修复所有漏洞”转向“风险优先级排序”？

值得关注的是，Google 并未披露 AI 工具的具体误报率。如果误报率过高，频繁的补丁周期可能反而增加系统不稳定性。此外，AI 发现的漏洞是否会被攻击者利用来反向训练对抗性模型，也是一个潜在风险。

独立判断：AI 正在将软件安全从“人找漏洞”推向“机器找漏洞”的新阶段，但补丁流水线的吞吐能力将成为新的瓶颈。