A equipe de segurança do Chrome do Google revelou que ferramentas de inteligência artificial encontraram e ajudaram a corrigir 1.072 vulnerabilidades de segurança em apenas duas versões do Chrome – mais bugs do que a equipe havia eliminado nos 23 marcos anteriores combinados. Os números, publicados em uma postagem técnica detalhada em um blog em 30 de julho de 2026, oferecem uma das demonstrações mais claras de que grandes modelos de linguagem podem operar no centro de um importante programa de segurança de software.
Para quem acompanha os mais recentes desenvolvimentos de IA, as implicações vão muito além de um único navegador. A divulgação do Google ocorre em meio a uma avaliação mais ampla da indústria sobre como as ferramentas de IA estão remodelando a segurança cibernética – tanto para atacantes quanto para defensores.
Um chicote de agentes construído em Gemini
No início de 2026, o Google construiu o que chama de “equipamento de agente” que usa sua família de modelos Gemini para escanear a extensa base de código do Chrome em busca de vulnerabilidades. O sistema foi projetado para encontrar falhas reais de segurança com maior eficiência e menores taxas de falsos positivos do que as ferramentas tradicionais de análise estática.
Uma descoberta se destacou. A IA identificou uma vulnerabilidade de escape de sandbox que teria permitido que um processo de renderização comprometido enganasse o navegador para que ele lesse arquivos locais na máquina de um usuário. O bug, segundo o Google, “sobreviveu silenciosamente em nossa base de código por mais de 13 anos”.
“Para muitos de nós, este momento consolidou o potencial de detecção de vulnerabilidades baseada em IA”, escreveu a equipe de segurança do Chrome.
Da descoberta de bugs à triagem automatizada
Os mesmos sistemas de IA que caçam bugs agora os estão fazendo a triagem. Historicamente, a revisão de um único relatório de segurança recebido consumia entre cinco e 30 minutos do tempo de um engenheiro humano. O pipeline automatizado do Google agora cuida da maior parte desse trabalho: filtrar relatórios duplicados, tentar reproduzir o bug, atribuir uma classificação de gravidade e encaminhar o problema para a equipe de engenharia apropriada. A empresa estima que isso economiza centenas de horas de tempo de desenvolvedor todos os meses.
A correção de bugs em grande escala exigiu repensar todo o processo de reparo. A arquitetura atual executa um pipeline multiagente no qual um agente de correção gera vários patches candidatos, um agente crítico separado avalia qual patch é mais forte e um agente de gravação de testes verifica se a correção funciona em todas as plataformas suportadas pelo Chrome antes que um revisor humano a veja.
O Google fez parceria estreita com sua divisão DeepMind e com a equipe de pesquisa do Project Zero no esforço, com base em ferramentas conhecidas internamente como BigSleep e CodeMender. Eles são integrados nativamente ao sistema de integração contínua do Chrome, sendo executados a cada 24 horas em todas as alterações de código recebidas para detectar bugs de segurança antes de serem enviados.
“Esta integração produziu resultados significativos”, afirmou o Google. “Só em maio, impedimos que mais de 20 vulnerabilidades chegassem à produção, incluindo um problema crítico do S1+.”
Pesquisadores externos sentem o aperto
O aumento na descoberta interna baseada em IA teve um efeito indireto no Programa de Recompensa de Vulnerabilidade (VRP) externo do Google. Em março de 2026, o Chrome recebeu mais relatórios de bugs de pesquisadores externos do que em todo o ano de 2025. Em resposta, o Google ajustou o VRP para incentivar descobertas que vão além do que suas próprias ferramentas de IA já estão detectando – um sinal de que a descoberta automatizada de vulnerabilidades está começando a superar a tradicional busca manual de bugs.
Vários meios de comunicação, incluindo TechCrunch, SecurityWeek, BleepingComputer e WIRED, confirmaram os números. WIRED relatou que o Chrome agora requer ciclos de patch aproximadamente duas vezes por semana, uma cadência tornada viável apenas pelo rendimento do pipeline de IA.
Fechando a lacuna do patch
Encontrar e corrigir bugs rapidamente só importa se essas correções chegarem aos usuários a tempo. O Google reconheceu o desafio persistente da chamada “lacuna de patch” – a janela entre o momento em que uma correção chega à base de código de código aberto e quando atinge o canal estável que a maioria dos usuários executa. Durante essa janela, os invasores podem fazer engenharia reversa do patch e explorar a falha antes que os usuários atualizem.
Para preencher essa lacuna, o Chrome está desenvolvendo uma tecnologia de correção dinâmica que pode substituir processos vulneráveis em segundo plano dinamicamente, sem exigir a reinicialização completa do navegador. A equipe já enviou uma mudança relacionada no Chrome 150 que reinicia automaticamente o navegador no macOS quando todas as janelas são fechadas e uma atualização está pendente.
O trabalho estrutural de longo prazo concentra-se na eliminação de categorias inteiras de vulnerabilidades, em vez de corrigir instâncias individuais. O Google está expandindo MiraclePtr, uma tecnologia que neutraliza bugs de memória de uso após liberação, para bibliotecas de renderização adicionais, incluindo Skia, ANGLE e Dawn. O objetivo é cobrir uma parcela crescente da base de código onde se originam esses problemas de segurança de memória.
Uma mudança mais ampla na segurança de software
A divulgação do Google chega num momento de intenso escrutínio sobre a natureza de dupla utilização da IA na segurança cibernética. Na mesma semana, WIRED, ABC News e Politico relataram que os modelos Claude da Anthropic violaram de forma independente três organizações do mundo real durante testes de segurança, escrevendo e implantando malware no processo. Os desenvolvimentos paralelos sublinham uma tensão central: a mesma classe de capacidades de IA que pode corrigir autonomamente uma vulnerabilidade de 13 anos também pode ser direcionada para fins ofensivos.
Para a equipe do Chrome, o cálculo é claro. Os 1.072 bugs corrigidos em duas versões representam melhorias reais de segurança voltadas para o usuário – vulnerabilidades que de outra forma poderiam ter permanecido por anos. Se o resto da indústria de software pode replicar o pipeline do Google e se os adversários podem transformar as mesmas técnicas em armas mais rápido do que os defensores podem implantá-las, continua sendo a questão que define a era da segurança da IA.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
