十年前，Chrome 每六周推送一次安全补丁，这个频率在当时还引起过争议。如今这套节奏被彻底改写——谷歌正在试点每周推送两次安全修复，原因不是浏览器突然变脆弱了，而是 AI 挖漏洞的速度已经快到让人跟不上。

两个版本，1072 个漏洞

Chrome 安全团队在 7 月 30 日发布的报告中给出了一组扎眼的数字：6 月发布的两个大版本 Chrome 149 与 Chrome 150，合计修复了 1072 个安全漏洞。作为对照，此前两年发布的 23 个版本加在一起，修复总数为 1036 个。换句话说，两个版本干完的活，超过了过去两年的总和。

这些漏洞中确实有一部分来自外部研究者提交，但激增的主因是 Chrome 安全团队内部流程的快速演进——他们把 AI 工具全面接入了漏洞发现、分级和补丁开发的每一个环节。

“在 Chrome，我们从 2012 年起就在用机器学习——在它还没被叫作 AI 的时候——来辅助发现漏洞、自动化模糊测试工作。这一直是我们发现漏洞、赋能开发者的重要手段。”Chrome 副总裁兼总经理帕丽萨·塔布里兹（Parisa Tabriz）表示，”但今年确实很不一样。无论进攻还是防守，都真切地到了一个拐点。”

从两周一次到每周两次

Chrome 原本已经在向”每两周一个大版本、外加每周一次安全更新”的节奏靠拢。但漏洞发现的密度实在太高，团队把新模型和新能力接入工作流后成效又太显著，最终决定试点每周推送两次安全修复。

“我们走到这一步的原因很简单：修复实在太多了。所以在这段时间里每周提供两次更新，对我们来说最合理。”Chrome 工程总监道格·特纳（Doug Turner）说，”会不会一直这样？谁知道呢。”

特纳向外界解释了这套系统为什么这么能挖。谷歌训练的模型掌握了两类关键知识：一是历史上出现过的每一个安全漏洞编号，二是 Chromium 代码库全部提交历史中每一行代码被修改的原因。

“我们训练模型，让它了解我们过去见过的每一个安全漏洞，”特纳说，”第二件很酷的事情是，Chromium 历史上的每一行代码，模型都知道它当初为什么被改。”

这套上下文让 AI 工具能在 Chrome 这个庞大复杂的代码库里精准锁定潜在弱点，包括那些早已不再活跃开发、也很少有人再去审视的功能模块——比如打印功能。

一个藏了 13 年的沙箱逃逸

公开资料显示，谷歌在 2026 年初部署了基于 Gemini 构建的智能体框架，扫描范围覆盖整个 Chrome 代码库，而不再局限于模糊测试能触达的代码路径。这套框架支持开放权重模型与闭源模型协同工作，会多轮运行以抵消模型输出的不确定性，并调用一个由 Chromium 全部版本历史和历史漏洞构成的知识库。

其中最引人注目的一项发现，是一个在代码库里静静躺了 13 年多的沙箱逃逸漏洞。该缺陷可让被攻陷的渲染进程绕过隔离机制，诱使浏览器读取用户本地的文件。它之所以能存活这么久，并非因为多么隐蔽，而是传统安全审查要么从正在变动的代码入手，要么依赖能触发崩溃的输入，要么等外部研究者上报——没有哪一种方法是为”把 13 年前的老代码重新翻一遍”设计的。

此外，谷歌 DeepMind 与 Project Zero 合作的 BigSleep 项目，以及自动修复工具 CodeMender，如今已原生嵌入 Chrome 的持续集成系统，每 24 小时对全球开发者提交的所有代码变更跑一遍。仅 2026 年 5 月一个月，这套集成就拦下了 20 多个漏洞，其中包括一个被评为最高严重级别的缺陷。

不只是谷歌

同样的趋势正在其他厂商身上出现。微软本月早些时候宣布，在例行的”补丁星期二”更新中，一次性修复了创纪录的 570 个安全漏洞，并将激增归因于内部对 AI 的使用。苹果则暂未出现类似的指数级增长——独立统计显示，苹果 2026 年至今修复了 482 个漏洞，大致与去年持平，也和 2015 年的水平相当。

这波浪潮会持续多久

特纳和其他安全研究者都认为，AI 带来的漏洞发现狂潮未必是永久状态。至少对 Chrome 这类成熟稳定的产品而言，等到 AI 能找出来的漏洞被清理得差不多之后，新漏洞数量会出现回落。原因之一在于，模型可以被训练成对软件项目的演进历史了如指掌。

除了这种”打地鼠”式的补丁工作，Chrome 安全团队同时把重心放在结构性改造上——例如把部分 C++ 代码用内存安全的 Rust 语言重写，从而让整类常见漏洞彻底不再成立。

“眼下有一个短期的高峰，但我认为会形成新的平衡，”塔布里兹说，”我觉得对整个行业而言，真正重要的是所有在做软件安全的人都把 AI 纳入自己的开发流程。我最大的期望是一切都变得更安全。但我不会假设一切都会自动变好，也不认为这是免费的。”

来源：WIRED《Chrome Needs Twice-a-Week Patching Thanks to AI Bug Hunting》（作者 Lily Hay Newman）；补充资料参考 TechCrunch 与谷歌安全博客公开报告

图片来源：WIRED