そのバグは 13 歳だった。ファザーの 10 年、バウンティハンター、世界屈指のセキュリティエンジニアたちを生き延び——走ることを許されたエージェントに斃された。周囲に組まれたハーネスと、運用者が立ち去れるほど信頼した環境があったからだ。

2026年7月30日、Google は数字を公表した。 1年前なら誤植に見えたはずの数字だ。Chrome 149 と 150 は合わせて 1,072 件のセキュリティ修正を出荷し——直前の 23 マイルストーンの合計を上回る——2026年はすでに 1,800 件を超え、Chrome 151 がさらに 370 件を積み増した。 SecurityWeek と BleepingComputer が目玉を取り上げた。CVE-2026-3545、Chrome のナビゲーションコードにある CVSS 9.8 の欠陥で、侵害されたレンダラーがブラウザを騙してローカルファイルを読ませることができた——サンドボックス脱出だ。それは 13 年間コードベースにあった。エージェントがそれを見つけ、Google は5月の Chrome 145 で修正済みだ。

Google は何年も前から強力なモデルを持っていた。彼ら自身の年表では、2023年に LLM 支援ファジング、2024年に Project Zero の Naptime、2025年に Big Sleep が V8 の実バグを発見。4桁の数字が到来したのは 2026年初頭、それらのモデルの周りにエージェントハーネスを組んだときだ——そして研究に値するのはハーネスの側だ。ハーネスこそ、あなたが手に入れられる部分だからだ。

ハーネスの解剖

発表を仕組みまで剥ぎ取ると、ひとつのアーキテクチャが残る。

ハーネスは、過去のすべての Chrome CVE とリポジトリの完全な git 履歴から構築したナレッジベースをエージェントに与える。独立したコンテキストを持つ 批評エージェントが SECURITY.md を読み、発見役の提案に異議を唱える。ハーネスは同じコードに複数回のパスを走らせる。1回の実行では非決定的なモデルも、10回走らせれば網羅的になるという理屈だ。バグが確認されると、 修正エージェントが候補パッチを起草し、批評役が反論し、Google がコードレビューの模倣と呼ぶループを2者が回す——その後テスト作成エージェントが Chrome の全プラットフォームにわたるカバレッジを生成し、そこで初めて人間の開発者が目を通す。トリアージも同じ扱いを受けた。エージェントが届いた報告の概念実証を再現し、バグの混入時期を特定し、深刻度を評価し、担当者に振り分ける——かつて報告1件につきエンジニアの5分から30分を要し、月に数百時間規模だった仕事だ。

このループの人間はマージの位置に座り、テスト付きで完成した修正候補をレビューする。エージェントの隣で1コマンドずつ承認するのではない。実行そのものは自律だ。2リリースで千件の修正とは、夜通し走る艦隊であり、人間の判断は艦隊が持ち帰ったものに対して一度だけ適用される。

制約リストを二度読め

Google の記事は、エージェントがその自由を勝ち取った理由を、大半の報道が読み飛ばした部分に書いている。エージェントはソースコードを厳密に静止状態で解析する。走るのは一般的なインターネットアクセスのないロックダウンされたマシンの上。専用の仕組みがすべてのネットワークリクエストを傍受し、厳格な許可リストと照合する。サブエージェントはローカルシステムの変更も、ソースディレクトリ外の読み取りも禁じられている。

このリストが偉業の前提条件だ。スケールを生むのは自律であり、自律は境界があなたの注意の中に住んでいる限り与えられない——エージェントとあなたのマシン、あなたの鍵、開かれたインターネットの間にあるのが、見張っているあなただけである限りは。Google は境界を回線に置いた。デフォルトで拒否するネットワーク、ファイルシステムの柵、運用者の代わりにルールを保持する環境。そのうえで地球最大級のコードベースにエージェントを向け、走らせた。

その制約リストは、外から記述した Bromure プロファイルだ。

Google のハーネス制約と、Bromure Agentic Coding プロファイルが最初から行うことの対応表。ロックダウンされたマシンは使い捨て VM に、傍受と許可リストはホストプロキシでの宛先ごとの外向き同意に、ソースツリーの柵は VM が抱えるワークスペースに、マージでのレビューはガードレールと最後に読む diff に対応する。片方の列はプラットフォームチームが必要だった。もう片方はクリックひとつのプロファイルだ。

同じ環境を、あなたのラップトップに

Bromure Agentic Coding は Google のハーネスと同じ前提から出発する。エージェントの自律は、走る環境が稼ぎ出すものだ。各プロファイルは Apple Silicon 上の使い捨て Linux VM の中でエージェントを走らせる。macOS からはハイパーバイザー1枚を隔てた場所で、すべての外向きリクエストはホストプロキシを通過し、宛先はあなたが承認したリストと照合される。ネットワークはデフォルトで拒否する。Google のそれと同じだ。これが、エージェントを走らせておくためのライセンスになる——タスクを開始し、蓋を閉じ、朝に diff を読む。あなたが見ていようがいまいが、ルールが保たれるからだ。

そしてこれは、セキュリティの仕事そのものを安心して任せられるものにする。セキュリティの仕事は攻撃者のかたちをしているからだ。Google のトリアージエージェントは、届いたバグ報告の概念実証を再現する——エクスプロイトを実行して本物かどうか確かめるのだ。それを生身のラップトップで試せば、バグ報告がコマンドを実行する。あなたの鍵を握るマシンの上で。Bromure プロファイルなら、PoC は使い捨て VM の中で爆発する。そこで掬い取れるクレデンシャルはブローカーの囮だ——本物の値はホストに住み、承認済みの宛先に限って回線上でだけ注入される——そしてペイロードがどこへ電話をかけようと、それはプロキシが決して外に出さない接続だ。自分のクラッシュレポートにエージェントを向け、再現しろと指示し、それを本気で言える。

Google の数字のもう半分であるスケールは、艦隊の仕事だ——複数パス、並列エージェント——そしてこの製品は艦隊をプリミティブとして扱う。タスク名を打ち込めば、git worktree プロファイルがそのタスクに専用のブランチ、専用のチェックアウト、専用タブの専用エージェントを与える。それぞれが自分の VM の中だ。夜間の「コードベースのバグ掃除」パスと「不安定なテスト追跡」の使い走りは、作業ツリーも爆発半径も共有しない。そして難しいバグ——セカンドオピニオンに値するやつ——には Fusion モードが同じプロンプトにモデルのパネルを載せ、審判が調停する。Google の複数パスの洞察を、最も効く瞬間に適用したものだ。

そして人間は、Google が置いたのと同じ場所に座る。ゲートだ。実行中はガードレールが破壊的な操作—— force-push、削除、状態を変える API 呼び出し——を止めてホスト上のダイアログに掛け、それ以外はすべて流れる。最後にあなたは diff をレビューする。Chrome の開発者がテスト付きの修正候補をレビューするのと同じように。この分業—— ゲートでの判断、実行中の自律——が、あなたの夜を自動補完するだけのエージェントと、桁区切りのついた数字を手渡してくるエージェントを分ける。

ふたつの物語、ひとつの教訓

今週のニュースを先週のニュースと並べて読んでほしい。Anthropic の開示は、ハーネスが嘘をつくと何が起きるかを見せた。プロンプトで主張されただけの隔離、すべてを許すネットワーク、宿題をこなしながら3つの実在企業に侵入したエージェント。Google の記事は同じ変数の符号を反転させて見せる。回線で強制された隔離、そして千のバグを直し 13 年もののサンドボックス脱出を掘り出したエージェント。モデルはどちらの物語にも同じ才能を持ち込んだ。その才能が何を生むかを決めたのは、環境だった。

それが、Bromure Agentic Coding があなたの代わりに張る賭けだ。モデルはすでに持っている——Google が使ったのと同じクラスを。コーディングエージェントがあなたのために何をするかの天井は、走らせても構わない場所に住んでいるかどうかで決まる。真実を語る箱、ルールを守る回線、あなたの判断が効くゲートを与え、そしてこの1年の結果が説くとおりにすることだ。インストールして、エージェントに本物のタスクを渡し、走らせておけ。