跳到主要內容

Chrome AI抓漏洞實測：1,072個漏洞一次修復、13年老洞現形 | Chrome AI Fixes 1,072 Bugs, Finds 13-Year-Old Flaw

By Kit 小克 | AI Tool Observer | 2026-08-02

🇹🇼 Chrome AI抓漏洞實測：1,072個漏洞一次修復、13年老洞現形

Google Chrome 資安團隊最新公布的數據顯示，靠著AI 抓資安漏洞，Chrome 149、150 兩個版本一口氣修復了1,072 個安全漏洞，比過去兩年、23 個版本加起來的 1,036 個還多。這波成果的核心是 Google 用 Gemini 打造的代理程式（agent harness），不只找漏洞，還能自動生成修補程式碼、做漏洞分級與分派，是目前規模最大的Chrome AI 修復漏洞實戰案例。

Chrome AI怎麼抓漏洞？

Google 從 2023 年就開始用 LLM 提升模糊測試（fuzzing）覆蓋率，2024 年跟 Project Zero 合作推出 Naptime，2025 年再進化成 Big Sleep，專門在 V8 引擎和繪圖堆疊裡找漏洞。2026 年初，Google 打造了一套跑在整個 Chrome 原始碼庫上的 Gemini 代理程式，同時餵給它過去所有 CVE 紀錄和完整 Git 歷史，讓它一邊找漏洞、一邊降低誤報率。

  • 2023：LLM 輔助模糊測試，提升覆蓋率
  • 2024：與 Project Zero 合作推出 Naptime
  • 2025：進化成 Big Sleep，找到 V8、繪圖堆疊真實漏洞
  • 2026：Gemini 代理程式掃描整個 Chrome 程式碼庫，同步協助分級與分派

13年老洞是怎麼被揪出來的？

這套系統挖出的其中一個漏洞，是藏在 Chrome 沙盒（sandbox）機制裡超過 13 年的逃逸漏洞——代表這個洞從 Chrome 還很年輕的時候就存在，人工稽核跟傳統模糊測試都沒抓到，最後被 AI 代理程式在系統性掃描中挖出來。除了找漏洞，AI 也接手了漏洞分類的雜活：過濾垃圾回報、去除重複、重現 PoC 攻擊、評估嚴重度、分派給對的工程師，Google 估計每個月省下數百小時人力。

對一般用戶跟開發者代表什麼？

老實說，這不代表 Chrome 突然變得無懈可擊——AI 抓得越多，代表過去累積的技術債也越多，而且被抓出來的漏洞，理論上也可能被攻擊者用類似手法搶先找到，形成一場修補速度的競賽。但對用戶來說，好處很直接：修補速度變快、更新頻率變高，只要保持 Chrome 自動更新，就能吃到這波紅利。對開發者而言，這是個訊號——AI 漏洞挖掘已經從實驗室走進大型專案的日常維運，值得評估在自己的專案裡導入類似流程。

好不好用，試了才知道。

🇺🇸 Chrome AI Fixes 1,072 Bugs, Finds 13-Year-Old Flaw

Google Chrome Security just revealed that Chrome AI vulnerability fixing hit a new record: versions 149 and 150 patched 1,072 security bugs in June 2026 alone — more than the 1,036 bugs fixed across the previous 23 releases combined. The engine behind this jump is a Gemini-powered agent harness that doesn't just hunt for bugs, it also drafts fixes, triages severity, and routes reports to the right engineers.

How does Chrome use AI to find vulnerabilities?

Google's LLM security work goes back to 2023, when it boosted fuzzing coverage with language models. In 2024 it partnered with Project Zero on Naptime, then evolved that into Big Sleep in 2025, which found real bugs in V8 and the graphics stack. Early 2026 brought a full agent harness trained on Chrome's entire CVE history and Git log, built to scan the whole codebase while cutting false positives.

  • 2023: LLM-assisted fuzzing, wider coverage
  • 2024: Naptime, built with Project Zero
  • 2025: Big Sleep finds real V8 and graphics-stack bugs
  • 2026: Gemini agent harness scans the full codebase, assists triage and routing

What did the AI actually find?

One standout catch: a sandbox escape vulnerability that had sat undetected in Chrome's codebase for over 13 years — missed by manual review and traditional fuzzing alike. Beyond discovery, the AI now handles the grunt work of triage too: filtering spam reports, deduping, reproducing proof-of-concept exploits, assigning severity, and routing tickets, saving what Google estimates is hundreds of engineering hours every month.

Does this actually make Chrome safer?

Here's the honest take: finding more bugs faster doesn't mean Chrome had more bugs than other browsers — it means the backlog of long-standing issues is finally getting drained, and it kicks off a patching-speed race, since a bug an AI agent can find, an attacker's AI agent might eventually find first. For everyday users, the practical upside is simple: keep Chrome on auto-update and you get these fixes for free. For developers, it's a signal that AI vulnerability discovery has moved from research demo to production workflow at scale — worth evaluating for your own codebase.

好不好用，試了才知道 — works well or not, you only know once you have tried it.

Sources / 資料來源

常見問題 FAQ

Chrome AI修復漏洞是什麼意思？

指Google用Gemini打造的AI代理程式自動掃描Chrome原始碼、找出資安漏洞並協助生成修補程式，2026年6月一口氣修復1,072個漏洞，超過過去兩年23個版本的總和。

AI找到的13年老洞是什麼？

是藏在Chrome沙盒（sandbox）機制裡的一個逃逸漏洞，存在超過13年都沒被人工稽核或傳統模糊測試抓到，最後由Gemini代理程式在系統性掃描中挖出來。

一般使用者需要做什麼才能受益？

不需要額外操作，只要保持Chrome自動更新開啟，這些AI找到並修補的漏洞就會透過正常版本更新推送給你。

這項技術的核心是什麼？

核心技術包括2024年的Naptime與2025年的Big Sleep，2026年進化成能掃描整個Chrome程式碼庫、同時協助分級與分派的Gemini代理程式。

AI抓漏洞會不會也被駭客拿來用？

有可能，這是雙面刃——AI能找到的漏洞，攻擊者的AI也可能找到，因此修補速度變得比以往更關鍵，形成一場對抗式的競賽。

延伸閱讀 / Related Articles

AI 工具觀察站 — 每日精選 AI Agent 與工具趨勢
AI Tool Observer — Daily curated AI Agent & tool trends

留言

張貼留言

這個網誌中的熱門文章

Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 | AI Coding Assistants Compared: Cursor vs GitHub Copilot vs Claude Code

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 2026 年，AI 程式助手已經成為開發者的標配。但市場上選擇太多了，到底該用哪一個？我同時使用了 Cursor、GitHub Copilot 和 Claude Code 超過半年，以下是完整比較。 GitHub Copilot：最普及的選擇 Copilot 是最早普及的 AI 程式助手，整合在 VS Code 和各大 IDE 中。它的核心功能是 即時程式碼補全 ——你打字的時候，它自動建議下一行或下一段程式碼。 優點 ：補全速度快、整合度高、支援幾乎所有語言、Copilot Chat 可以問問題 缺點 ：上下文理解有限（主要看當前檔案和少量相關檔案）、Agent 模式仍在發展中 價格 ：個人版 /月，企業版 /月 Cursor：IDE 級別的 AI 整合 Cursor 是一個從頭打造的 AI-first IDE（基於 VS Code fork）。它不只是補全程式碼，而是把 AI 深度融入整個開發流程。 優點 ：Composer 功能可以跨檔案編輯、Agent 模式可以自主執行多步驟任務、支援切換不同 AI 模型、Tab 補全非常智慧 缺點 ：是獨立的 IDE 需要遷移、Pro 方案有使用量限制、偶爾不穩定 價格 ：免費方案有限制、Pro /月 Claude Code：終端機裡的 AI 工程師 Claude Code 走完全不同的路線——它是 CLI 工具，在終端機裡運作，不綁定任何 IDE。 優點 ：理解整個 codebase、可以執行系統指令、支援 git 操作、CLAUDE.md 定義專案規則、最強的 agentic 能力 缺點 ：沒有視覺化介面、按 API token 計費（可能很貴）、需要習慣 CLI 工作流 價格 ：按 API 使用量計費，或透過 Max 訂閱方案 關鍵差異比較 即時補全 ：Copilot ≈ Cursor > Claude Code（無此功能） 跨檔案理解 ：Claude Code > Cursor > Copilot Agentic 能力 ：Claud...
閱讀完整內容

Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 | Google Ironwood TPU v7 Explained: Matching NVIDIA Performance at 44% Lower Cost — The AI Chip War Heats Up

By Kit 小克 | AI Tool Observer | 2026-04-21 🇹🇼 Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 Google Ironwood TPU 是什麼？為什麼它讓 NVIDIA 緊張？ Google Ironwood TPU（代號 TPU v7）是 Google 第七代自研 AI 晶片，也是第一款 專為推理（inference）設計 的 TPU。在 AI 模型越來越大、推理需求暴增的時代，Google 不再只依賴 NVIDIA GPU，而是推出自己的推理專用晶片來搶市場。 Ironwood TPU v7 規格有多強？ 每顆 Ironwood TPU 提供 4.6 petaFLOPS 的 FP8 運算效能 ，搭載 192 GB HBM3E 記憶體，頻寬達 7.37 TB/s。單顆效能略高於 NVIDIA B200（4.5 petaFLOPS），接近 GB300 的 5 petaFLOPS。 更驚人的是規模化能力：Ironwood 可擴展至 9,216 顆晶片組成超級叢集 ，總算力達 42.5 ExaFLOPS，遠超 NVIDIA GB300 NVL72 系統的 0.36 ExaFLOPS。共享記憶體池高達 1.77 PB，解決了大型模型推理時的資料瓶頸問題。 Ironwood TPU 比 NVIDIA 便宜多少？ 根據分析，Ironwood 的 整體擁有成本（TCO）比 NVIDIA GB200 低約 44% 。在能效方面，Ironwood 的 FP8 效能達每瓦 5.42 TFLOPS，而 GB300 為 3.57 TFLOPS/W，Google 晶片的能效高出約 52%。 為什麼 Google 要做推理專用晶片？ AI 產業正從「訓練時代」轉向「推理時代」。當 ChatGPT、Gemini、Claude 等 AI 助手每天處理數十億次查詢時，推理運算的需求遠超過訓練。Google 稱之為「推理時代（age of inference）」，而 Ironwood TPU 就是為這個時代量身打造的武器。 對開發者和企業有什麼影響？ Ironwood TPU 目前 只能透過 Google Cloud 使用，無法...
閱讀完整內容

Claude Code 實測：AI 幫你寫程式到底行不行？ | Claude Code Review: Can AI Really Code for You?

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Claude Code 實測：AI 幫你寫程式到底行不行？ Claude Code 是 Anthropic 推出的命令列 AI 程式助手，直接在你的終端機裡運作。跟其他 AI 程式工具不同的是，它不是 IDE 外掛，而是一個獨立的 CLI 工具，可以讀取你的整個 codebase、執行指令、甚至幫你做 git 操作。我實際用了幾個月，以下是真實心得。 安裝與設定 安裝非常簡單，透過 npm 就能搞定： npm install -g @anthropic-ai/claude-code 。啟動後它會要求你登入 Anthropic 帳號或設定 API key。整個流程不到五分鐘。 實際使用體驗 Claude Code 最強的地方在於 它理解你的整個專案 。你不需要手動貼程式碼，它會自己讀取相關檔案、分析程式結構，然後給出建議或直接修改。實測幾個場景： Bug 修復 ：描述錯誤現象，它能自動找到問題檔案並提出修正，準確率大約 70-80% 新功能開發 ：給它需求描述，它能產出可用的初版程式碼，但通常需要人工調整細節 程式碼重構 ：這是它最擅長的。重新命名變數、抽取函式、調整架構，做得又快又好 寫測試 ：給它一個函式，它能產生相當完整的測試案例 優缺點分析 優點： 深度理解 codebase，不是只看單一檔案 可以執行 shell 指令，直接跑測試、裝套件 支援 CLAUDE.md 讓你定義專案規則 agentic 模式下可以自主完成多步驟任務 缺點： API 費用不便宜，大型專案一天可能花 10-30 美元 偶爾會過度修改，改了不該改的地方 對非英語的程式碼註解理解力稍弱 需要良好的網路連線 適合誰用？ 如果你是全端開發者、需要處理多個專案、或者經常做重構，Claude Code 絕對值得一試。但如果你只是寫簡單的腳本，免費的 Copilot 可能就夠了。 Kit 的結論： Claude Code 是目前最接近「AI 工程師」的工具。它不完美，但確實能大幅提升生產力。好不好用？試了才知道。 🇺🇸 Claude Code Review: Can AI Really Code for You?...
閱讀完整內容