Google เผย ใช้ AI เพื่อช่วย Chrome แก้ไขช่องโหว่ด้านความปลอดภัยถึง 1,072 รายการใน 2 เวอร์ชันล่าสุด

 

Google ระบุว่า AI ช่วยเพิ่มจำนวนช่องโหว่ด้านความปลอดภัยที่สามารถค้นหา และแก้ไขใน Chrome ได้อย่างก้าวกระโดด โดยมีการแก้ไขช่องโหว่ด้านความปลอดภัยมากกว่า 1,000 รายการในการอัปเดตเบราว์เซอร์สองเวอร์ชันล่าสุด ซึ่งเป็นผลมาจากการขยายการใช้งาน AI

ข้อมูลจาก Google ระบุว่า Chrome 149 และ Chrome 150 ได้แก้ไขช่องโหว่ด้านความปลอดภัยไปถึง 1,072 รายการ ซึ่งมีจำนวนมากกว่าช่องโหว่ที่ถูกแก้ไขใน Chrome 23 เวอร์ชันก่อนหน้านี้รวมกัน

บริษัทระบุว่า ปัจจุบันมีการใช้โมเดลภาษาขนาดใหญ่ (LLMs) ตลอดทุกขั้นตอนของกระบวนการจัดการช่องโหว่ ซึ่งรวมถึงการค้นหาช่องโหว่, การจำลองช่องโหว่จากการรายงาน, การประเมินระดับความรุนแรง, การมอบหมายช่องโหว่ให้กับนักพัฒนา, การสร้างชุดรหัสสำหรับการแพตช์ และการสร้างแบบทดสอบ

Google เริ่มนำ LLMs มาใช้เพื่อปรับปรุงการทดสอบความปลอดภัยแบบสุ่ม (fuzzing) ในปี 2023 ก่อนที่จะร่วมมือกับทีม Project Zero ในโครงการ Naptime ซึ่งเป็นระบบที่จัดเตรียมเครื่องมือวิจัยช่องโหว่เฉพาะทางให้กับโมเดล AI

ต่อมา ทางบริษัทได้ร่วมมือกับ Google DeepMind และ Project Zero ในโครงการ Big Sleep ซึ่งเป็น AI Agent ค้นหาช่องโหว่ โดยสามารถตรวจพบช่องโหว่ใน V8 JavaScript engine และส่วนประกอบด้านกราฟิกของ Chrome ได้

ในช่วงต้นปี 2026 Google ได้สร้างระบบควบคุม AI Agent ที่ขับเคลื่อนด้วย Gemini เพื่อค้นหาช่องโหว่ใน codebase ของ Chrome ในขอบเขตที่กว้างขึ้น พร้อมทั้งช่วยลดอัตราการแจ้งเตือนช่องโหว่ที่ผิดพลาด (false positives) ให้น้อยลง

 

ช่องโหว่หนึ่งที่ระบบค้นพบคือการ escape จาก Sandbox ของ Chrome ซึ่งแฝงอยู่ใน codebase มานานกว่า 13 ปี หากถูกนำไปใช้โจมตี ช่องโหว่นี้จะทำให้โปรแกรมเรนเดอร์ที่ถูก compromised สามารถ escape จาก Sandbox และหลอกให้เบราว์เซอร์อ่านไฟล์ข้อมูลภายในเครื่องได้

Google ยังสนับสนุนให้นักพัฒนาเพิ่มไฟล์ SECURITY.md ที่อธิบายขอบเขตความน่าเชื่อถือ และรูปแบบภัยคุกคาม เพื่อช่วยให้ระบบ AI สามารถระบุการดำเนินการที่มีผลกระทบต่อความปลอดภัยได้ดียิ่งขึ้น

บริษัทระบุว่า กระบวนการทำงานของ multi-agent AI มีไว้เพื่อช่วยเหลือ ไม่ใช่เพื่อแทนที่การทดสอบความปลอดภัยที่มีอยู่เดิม รวมถึงการทำ fuzzing ซึ่งยังคงมีประสิทธิภาพสูงในการค้นหาช่องโหว่ที่ซับซ้อน

Google ยังพบว่า มีรายงานช่องโหว่ด้านความปลอดภัยเพิ่มขึ้นอย่างมากผ่านโปรแกรม Chrome Vulnerability Reward โดยภายในเดือนมีนาคมปี 2026 บริษัทได้รับรายงานช่องโหว่ด้านความปลอดภัยมากกว่ายอดรวมตลอดทั้งปี 2025 เสียอีก

สิ่งนี้กระตุ้นให้ Google ปรับเปลี่ยนโปรแกรม โดยให้ความสำคัญกับรายงานที่ช่วยเสริมข้อมูลเพิ่มเติมจากสิ่งที่บริษัทค้นพบ และประมวลผลอยู่แล้วผ่านเครื่องมืออัตโนมัติ

บริษัทยังได้ใช้ระบบอัตโนมัติในการคัดกรองช่องโหว่เบื้องต้น ซึ่งรวมถึงการกรองสแปม และรายงานที่ซ้ำซ้อน การจำลองการโจมตี การประเมินระดับความรุนแรง และการส่งต่อรายงานไปยังนักพัฒนาที่เหมาะสม

Google ประมาณการว่า กระบวนการอัตโนมัตินี้ช่วยประหยัดเวลาของนักพัฒนาได้หลายร้อยชั่วโมงต่อเดือน

หลังจากช่องโหว่ได้รับการยืนยัน fixing agents จะสร้างแพตช์ที่เป็นไปได้ออกมาหลายรายการ ในขณะที่  agent อีกตัวจะทำหน้าที่ประเมินการแก้ไขที่ถูกเสนอ และสร้างข้อมูลเพิ่มเติมเพื่อให้นักพัฒนาตรวจสอบ

ในเดือนพฤษภาคม มีรายงานว่าระบบเหล่านี้ช่วยป้องกันช่องโหว่มากกว่า 20 รายการ ไม่ให้เข้าสู่การใช้งานจริง ซึ่งรวมถึงช่องโหว่ที่ถูกจัดให้อยู่ในระดับ Critical 1 รายการ

อย่างไรก็ตาม Google ระบุว่า การค้นหา และแก้ไขช่องโหว่ได้เร็วขึ้นนั้นยังต้องเร่งวิธีการส่งแพตช์ไปยังผู้ใช้ด้วย

เมื่อการแก้ไขความปลอดภัยถูกนำไปรวมใน public source code ของ Chrome แล้ว ผู้โจมตีสามารถตรวจสอบการเปลี่ยนแปลงนั้น และพยายามทำ reverse-engineer เพื่อหาช่องโหว่ก่อนที่อัปเดตจะไปถึงผู้ใช้

Google กำลังเปลี่ยน Chrome ไปใช้รอบการอัปเดตหลักทุกสองสัปดาห์ พร้อมกับอัปเดตความปลอดภัยแบบรายสัปดาห์ และกำลังนำร่องปล่อยอัปเดตความปลอดภัยสองครั้งต่อสัปดาห์เพื่อลดช่องว่างของระยะเวลาการแพตช์นี้

เพื่อลดการรบกวนการใช้งาน ทางบริษัทกำลังพัฒนาการแพตช์แบบไดนามิก ซึ่งจะช่วยให้ Chrome สามารถติดตั้งอัปเดตได้โดยไม่ต้องรีสตาร์ทเบราว์เซอร์

เริ่มตั้งแต่ Chrome 150 บน macOS เบราว์เซอร์จะสามารถรีสตาร์ทตัวเองโดยอัตโนมัติเพื่อติดตั้งอัปเดตที่ค้างอยู่ได้ ตัวโปรแกรมจะทำงานอยู่เบื้องหลังโดยไม่มีการเปิดหน้าต่างใด ๆ ทิ้งไว้

Google ระบุว่า เป้าหมายระยะยาวคือการทำให้ Chrome ได้รับการอัปเดตอย่างต่อเนื่องผ่านการแพตช์แบบไดนามิก การรีสตาร์ทอัตโนมัติในช่วงที่ไม่ได้ใช้งานเบราว์เซอร์ และระบบการกู้คืนเซสชันที่ดียิ่งขึ้น

ที่มา : bleepingcomputer