Google Deploys Gemini-Based AI Agents to Patch Over 1,000 Chrome Vulnerabilities

ความท้าทายในการรักษาความปลอดภัยของ Google Chrome นั้นยิ่งใหญ่มาก เมื่อพิจารณาจากส่วนแบ่งการตลาดทั่วโลก 73% และผู้ใช้งาน 3.5 พันล้านคน ในอดีต Google จัดการการเผยแพร่การรักษาความปลอดภัยตามเหตุการณ์สำคัญทุกเดือน ซึ่งโดยทั่วไปจะแก้ไขช่องโหว่ 40 ถึง 50 รายการต่อรอบ อย่างไรก็ตาม การเปิดตัวสายรัดเอเจนต์จากราศีเมถุนเมื่อเร็ว ๆ นี้ ได้เปลี่ยนวิถีวิถีนี้โดยพื้นฐาน ในช่วงเหตุการณ์สำคัญที่ 149 และ 150 บริษัทประสบความสำเร็จในการจัดการกับช่องโหว่จำนวน 1,072 จุด ซึ่งเกินกว่าจำนวนข้อบกพร่องด้านความปลอดภัยทั้งหมดที่ได้รับแพตช์ในเหตุการณ์สำคัญ 23 เหตุการณ์ก่อนหน้านี้รวมกัน ความสามารถในการแก้ไขที่เพิ่มขึ้นอย่างมากนี้ไม่ได้เป็นเพียงการปรับปรุงแบบค่อยเป็นค่อยไปเท่านั้น มันบ่งบอกถึงการเปลี่ยนแปลงจากการค้นพบจุดบกพร่องที่ยึดมนุษย์เป็นศูนย์กลางมาเป็นแนวทางที่ขับเคลื่อนด้วยเครื่องจักรความเร็วสูง ซึ่งจำเป็นสำหรับการรักษาความสมบูรณ์ของแอปพลิเคชันที่ทำหน้าที่เป็นเกตเวย์หลักสู่อินเทอร์เน็ตสำหรับประชากรผู้ใหญ่มากกว่าครึ่งหนึ่งของโลก

กลยุทธ์การรักษาความปลอดภัยของ Google ได้รับการพัฒนาอย่างมากในช่วงสามปีที่ผ่านมา แม้ว่าก่อนหน้านี้บริษัทจะใช้ AI เพื่อการคลุมเครือ ซึ่งเป็นวิธีทดสอบซอฟต์แวร์ที่มีการป้อนข้อมูลแบบสุ่มจำนวนมหาศาล แต่ขณะนี้บริษัทได้เปลี่ยนไปสู่เวิร์กโฟลว์เอเจนต์ที่ซับซ้อนแล้ว ภายในปี 2025 การทำงานร่วมกันระหว่างทีมงาน Chrome, Project Zero และ DeepMind ทำให้เกิด 'Big Sleep' ซึ่งเป็น AI ที่ออกแบบมาโดยเฉพาะสำหรับการค้นพบช่องโหว่ภายในกลไก V8 JavaScript และสแต็กกราฟิก ภายในปี 2026 สิ่งนี้ได้ก้าวหน้าไปสู่ชุดสายรัดเอเจนต์ที่ครอบคลุมซึ่งมีพื้นฐานมาจาก Gemini ต่างจากการจับคู่รูปแบบธรรมดา ระบบนี้จำลองสถานการณ์ที่ซับซ้อนและคาดการณ์ความล้มเหลวด้านความปลอดภัยที่อาจเกิดขึ้นในการเคลื่อนไหวข้างหน้าหลายพันครั้ง เหมือนกับปรมาจารย์ที่กำลังวิเคราะห์เกมหมากรุก ความสามารถนี้นำไปสู่การค้นพบช่องโหว่ในการหลบหนีแบบแซนด์บ็อกซ์ที่มีมายาวนาน ซึ่งหลบเลี่ยงการตรวจจับของมนุษย์และชุดการทดสอบมาตรฐานมานานกว่าทศวรรษ ซึ่งแสดงให้เห็นถึงความลึกที่ลึกซึ้งของการวิเคราะห์ AI ในปัจจุบัน

นอกเหนือจากการค้นพบ Google ยังได้ยกเครื่องการดำเนินการคัดแยกภายในเพื่อจัดการกับปัญหาที่อาจเกิดขึ้นจำนวนมหาศาล บริษัทได้ใช้ขั้นตอน AI สี่ขั้นตอนที่ออกแบบมาเพื่อขจัดภาระด้านการบริหารจัดการสำหรับผู้สืบสวนที่เป็นมนุษย์ ในขั้นที่ 1 AI จะกรอง 'สัญญาณรบกวน' ออก เช่น รายงานที่ซ้ำกันหรือปัญหาที่ไม่เกี่ยวกับความปลอดภัย ขั้นที่ 2 เกี่ยวข้องกับ AI ที่สร้างจุดบกพร่องใหม่ภายในสภาพแวดล้อมเสมือนเฉพาะทาง โดยบันทึกจุดบกพร่องเหล่านั้นด้วยการติดตามสแต็กที่จำเป็น ระยะที่ 3 จะเห็นระบบที่ปรับปรุงรายงานด้วยข้อมูลเมตา ซึ่งโดยพื้นฐานแล้วคือการสร้างไฟล์เคสที่ครอบคลุม ก่อนระยะที่ 4 ซึ่งระบุผู้เชี่ยวชาญที่เป็นมนุษย์ที่เหมาะสมที่สุดในการเป็นเจ้าของการแก้ปัญหา Google ประมาณว่าขั้นตอนการทำงานนี้ช่วยประหยัดเวลาของนักพัฒนาได้หลายร้อยชั่วโมงต่อเดือน ช่วยให้วิศวกรที่เป็นมนุษย์มุ่งเน้นไปที่การตรวจสอบที่ซับซ้อนมากกว่างานธุรการที่ซ้ำซาก

เพื่อรักษาความเร็วของการพัฒนาซอฟต์แวร์ยุคใหม่ Google ได้ใช้ระบบหลายตัวแทนโดยเฉพาะสำหรับกระบวนการแพตช์ เมื่อระบุช่องโหว่แล้ว 'ตัวแทนแก้ไข' จะเสนอแพตช์ตัวเลือกต่างๆ จากนั้น 'ตัวแทนนักวิจารณ์' รองจะประเมินโซลูชันเหล่านี้ ตรวจสอบคุณภาพของโค้ด การยึดมั่นในแนวทางสไตล์ และความสมบูรณ์ของฟังก์ชัน กระบวนการนี้สะท้อนถึงวงจรการตรวจสอบโดยผู้ทรงคุณวุฒิแบบดั้งเดิม แต่ดำเนินการด้วยความเร็วสูงกว่ามาก สุดท้ายนี้ กองทัพตัวแทนการเขียนข้อสอบจะสร้างและดำเนินการทดสอบเพื่อยืนยันในทุกแพลตฟอร์มที่ Chrome รองรับ ด้วยการวนซ้ำขั้นตอนเหล่านี้โดยอัตโนมัติ ระบบจะระบุและแก้ไขข้อขัดแย้งหรือข้อผิดพลาดที่อาจเกิดขึ้นก่อนที่นักพัฒนาที่เป็นมนุษย์จะตรวจสอบโค้ด Google อ้างว่ากระบวนการบูรณาการนี้ช่วยประหยัดแรงงานนักพัฒนาได้หลายสัปดาห์ โดยเปลี่ยนความสามารถของบริษัทในการตอบสนองต่อภัยคุกคามด้านความปลอดภัยแบบเรียลไทม์