Chrome แก้บั๊กความปลอดภัย 1,072 ตัวในสอง milestone มากกว่า 23 milestone ก่อนหน้ารวมกัน · Google ให้เครดิต AI แต่ไม่เคยบอกว่าเท่าไร

ทีม Chrome Security ของ Google เผยแพร่โพสต์ "Chrome: stronger with every update" เมื่อ 30 ก.ค. 2026 ระบุว่า:

"In the last two milestones, Chrome 149 and 150, we have fixed 1072 security bugs, surpassing the total number of security bugs fixed across the prior 23 milestones combined."

(blog.google) · โพสต์ขึ้น Hacker News วันที่ 31 ก.ค. ได้ 478 คะแนน

นี่เป็นหนึ่งในตัวเลขที่จับต้องได้ที่สุดเท่าที่มีมาว่า AI ช่วยงานวิศวกรรมจริงในระดับ production ที่มีผู้ใช้หลักพันล้านคน · แต่มันมีข้อจำกัดที่ต้องเล่าคู่กันเสมอ

⚠ กรอบเวลา: ห้ามใช้พาดหัวของ Hacker News

พาดหัวที่คนส่งขึ้น HN เขียนว่า "Google fixed more Chrome bugs in June than over the past two years" · นั่นไม่ใช่คำของ Google และคลาดเคลื่อน

• Google เขียนว่า "two milestones (Chrome 149, 150)" ไม่ใช่ "เดือนมิถุนายน"
• Chrome 149 ขึ้น stable 2 มิ.ย. 2026 · Chrome 150 ขึ้น stable 30 มิ.ย. 2026 · หน้าต่างของสอง milestone รวมกันกินเวลาถึงปลายเดือน ก.ค. คือ ราว 8 สัปดาห์ ไม่ใช่หนึ่งเดือน
• "prior 23 milestones" ที่ cadence 4 สัปดาห์ = ราว 2 ปี ซึ่งพาดหัวประมาณถูก แต่ยังเป็นคำของผู้ส่ง ไม่ใช่ของ Google

ให้ใช้คำของ Google เท่านั้น: "สอง milestone" เทียบ "23 milestone ก่อนหน้ารวมกัน" แล้ววงเล็บว่า ≈ 8 สัปดาห์ เทียบ ≈ 2 ปี

AI ที่ใช้จริงมีอะไรบ้าง

ฝั่งค้นหาช่องโหว่

• "in early 2026, we built an agent harness that used Gemini to find vulnerabilities across the broader Chrome codebase"
• "we collaborated with DeepMind and Project Zero on Big Sleep, an AI vulnerability discovery agent that successfully found bugs in the V8 JavaScript engine and graphics stack"
• ผลที่ยกเป็นตัวอย่าง: "One of the bugs we found was a sandbox escape that would allow a compromised renderer to trick the browser into reading local files: a bug that quietly survived in our codebase for more than 13 years!"

ฝั่งเขียนแพตช์ เป็นระบบหลาย agent ที่ตรวจกันเอง:

"we run a fixing agent that returns multiple candidate fixes. A critic agent then evaluates which would be the best fit... The fixing and critic agents work in a loop that mimics a typical code review process... Test-writing agents help write tests for fixes."

ฝั่งระบบ เครื่องมือถูกฝังใน CI: "These tools are natively integrated into our continuous integration (CI) system, running every 24 hours across all CLs to proactively detect security bugs." · CodeMender เป็นหนึ่งในเครื่องมือที่ระบุว่าอยู่ใน CI (โพสต์ไม่ได้อธิบายบทบาทเฉพาะของมันละเอียดเท่าตัวอื่น)

ผลที่ Google ประเมินเอง: "While it's hard to measure precisely, we estimate that this new process is saving hundreds of hours of developer time per month" · และ "in May alone, we blocked over 20 vulnerabilities from reaching production, including a critical S1+ issue."

Google ยังระบุว่ากำลังนำร่องเพิ่มความถี่การปล่อยแพตช์: "To meet this moment, we are piloting a shift to two security releases per week."

🔴 สิ่งที่โพสต์นี้ไม่ได้บอก และห้ามเติมเอง

ข้อที่สำคัญที่สุด: Google ไม่เคยให้สัดส่วนว่าใน 1,072 บั๊กนั้น AI หาเจอกี่ตัว คนหาเจอกี่ตัว · ไม่มีตัวเลขแบ่งที่ไหนเลยในโพสต์ · BleepingComputer ที่รายงานข่าวนี้ก็ระบุตรงกันว่า Google พูดแค่ว่าใช้ LLM ทั่วทั้ง pipeline โดยไม่ quantify

⚠ กับดักตัวเลขที่ต้องกันไว้: The Hacker News รายงานเมื่อ 31 ก.ค. ว่า Chrome 151 แก้ช่องโหว่ 370 รายการ โดย "349 were reported by Google itself" · ตัวเลข 349 นี้คือการแบ่ง internal vs external ไม่ใช่ AI vs human และเป็นของ Chrome 151 ซึ่งไม่ได้อยู่ใน 1,072 · ห้ามเอามาผสมกัน

สิ่งที่ขาดอื่นๆ

• ไม่มีการแจกแจงความรุนแรง ของบั๊ก 1,072 ตัว (ไม่มี critical/high/medium/low breakdown)
• ไม่มีข้อมูลว่ากี่ตัวที่ผู้โจมตีใช้ได้จริงจากภายนอก
• ไม่มี false positive rate ของ agent
• ไม่มีจำนวนแพตช์ที่ต้องถูก revert ภายหลัง
• ไม่มี git blame ว่าบั๊กเหล่านั้นถูกใส่เข้ามาเมื่อไร จึงตอบไม่ได้ว่าโค้ดที่เขียนด้วย AI สร้างบั๊กเพิ่มเองแค่ไหน

ความเห็นที่คมที่สุดในกระทู้ HN สรุปช่องว่างนี้ไว้ว่าโพสต์มีตัวเลขของทุกอย่างที่ไปได้ดี และไม่มีตัวเลขของสิ่งที่อาจผิดพลาดเลย (HN)

และ AI ไม่ใช่ปัจจัยเดียวที่โพสต์ยกมา · ยังมี fuzzing (ซึ่ง Google บอกเองว่ายังเก่งเป็นพิเศษกับบั๊กที่เกิดจากปฏิสัมพันธ์ระยะไกลระหว่างส่วนที่ต่างกันของ codebase) · งาน memory safety อย่าง MiraclePtr และ spanification · และการเปลี่ยนจังหวะการปล่อยแพตช์ · การเล่าเรื่องนี้ราวกับ AI ทำคนเดียวคือการบิดต้นฉบับ

ทำไมเรื่องนี้สำคัญกับคนทำงานไทยที่ใช้ AI

นี่คือหนึ่งในหลักฐานที่หนักแน่นที่สุดในรอบปีว่า AI ช่วยงานวิศวกรรมจริงได้ในระดับ production ที่มีผู้ใช้หลักพันล้านคน และมันมาจากงานที่ตรวจถูกผิดได้ด้วยเครื่อง ช่องโหว่ความปลอดภัยมีคุณสมบัติที่งานออฟฟิศทั่วไปมักไม่มี คือมีเกณฑ์ชัดเจนว่า "แก้แล้ว" แปลว่าอะไร และมี test ยืนยันผลได้ทันที งานวิจัยอีกชิ้นที่เผยแพร่ช่วงปลายเดือนกรกฎาคม (arXiv 2607.27191) พบว่า agent ทำงานวิศวกรรมซอฟต์แวร์ได้ครบถ้วน แต่ตอบคำถามเชิงวิจัยที่ไม่มีเกณฑ์ตรวจชัดเจนไม่ได้ ทั้งสองกรณีชี้ไปทางเดียวกันคือ AI แข็งแรงเป็นพิเศษกับงานที่นิยามความสำเร็จได้ล่วงหน้า ถ้าอยากรู้ว่างานไหนในองค์กรเหมาะกับ AI ที่สุด ลองถามว่างานนั้นมีวิธีตรวจอัตโนมัติว่าทำถูกหรือยังหรือไม่ Chrome แก้บั๊กได้เยอะขนาดนี้เพราะมี test ที่บอกได้ว่าแพตช์ใช้ได้จริง ไม่ใช่เพราะ AI ของ Google ฉลาดกว่าที่อื่น

อีกเรื่องที่ควรระวังคือบริษัทที่มีตัวเลขดีมักเผยแพร่ตัวเลขที่ดี โพสต์นี้ตรวจสอบได้และเป็นข้อมูลจริง แต่มันเลือกได้ว่าจะวัดอะไร บั๊กที่แก้ได้เป็นตัวเลขที่ยิ่งทำงานเยอะยิ่งดูดี ส่วนบั๊กที่ AI อาจทำพังไม่มีใครรายงาน เวลาเห็นตัวเลข ROI ของ AI จากผู้ให้บริการรายไหน คำถามที่ควรถามกลับเสมอคือแล้วอะไรที่ไม่ได้ถูกวัด

สำหรับองค์กรที่กำลังพิจารณาให้ AI แตะโค้ดจริง โครงสร้างที่ Google ใช้เป็นแนวทางที่นำไปปรับใช้ได้โดยไม่ต้องมีทีมขนาด Google คือให้ agent หนึ่งตัวเสนอทางแก้หลายทาง อีก agent ทำหน้าที่วิจารณ์และเลือกทางที่ดีที่สุด แล้วให้ agent อีกตัวเขียน test ประกบ นี่คือการจำลองกระบวนการ code review ของมนุษย์ให้เครื่องทำ ไม่ใช่การเชื่อ output จาก AI ตัวเดียวโดยไม่มีการตรวจซ้ำ

อีกจุดหนึ่งที่น่าสนใจคือบั๊กที่ซ่อนอยู่ในโค้ดมานานกว่า 13 ปีถูก agent เจอ ซึ่งไม่ได้แปลว่าทีมของ Google ไม่เก่ง แต่แปลว่าการกวาดตรวจทั้ง codebase ทุก 24 ชั่วโมงเป็นงานที่คนทำไม่ไหวแต่เครื่องทำได้ต่อเนื่อง จุดแข็งที่แท้จริงที่ควรพูดถึงคือความทั่วถึงและความสม่ำเสมอ ไม่ใช่ความฉลาดของ AI

สิ่งที่ยังไม่รู้

• สัดส่วน AI vs คน ในบั๊ก 1,072 ตัว (Google ไม่เปิดเผย)
• ความรุนแรงและความสามารถถูกใช้โจมตีจริงของบั๊กเหล่านั้น
• อัตราการเกิด false positive และแพตช์ที่ต้องย้อนกลับ
• ผลของการนำร่องปล่อยแพตช์สัปดาห์ละสองครั้ง

ตัวเลข 1,072 ผูกกับ Chrome 149 และ 150 ตามที่โพสต์ระบุ ณ 30 ก.ค. 2026 · สื่อบางเจ้ารายงานยอดรวม 149+150+151 ที่ราว 1,442 ซึ่งเป็นคนละชุด

anthropic-eval-incidents-2026 · automationbench-aa · copilot-word-ai-worm-2026