O navegador Chrome, do Google, sempre foi uma peça central na estratégia de segurança da empresa.
Há uma década, chegou a ser polêmico o fato de o navegador, o primeiro a adotar atualizações automáticas, distribuir patches a cada seis semanas.
Hoje, isso se tornou a norma para softwares críticos e amplamente usados, mas a combinação entre a busca por vulnerabilidades com IA e o surgimento de falhas em praticamente todo tipo de software fez a quantidade e a frequência de patches dispararem.
A corrida agora é para entregar correções cada vez mais rápido.
Em um relatório publicado na quinta-feira, a equipe de segurança do Chrome informou que as duas grandes versões lançadas em junho trouxeram correções para 1.072 bugs de segurança, mais do que o time havia lançado somando as 23 versões grandes anteriores.
Embora muitos desses bugs venham de submissões de pesquisadores, o salto foi impulsionado principalmente pela rápida evolução do processo interno da equipe para usar ferramentas de IA na descoberta, triagem e desenvolvimento de patches.
“No Chrome, temos usado aprendizado de máquina, usando IA antes de ela ser chamada de IA, para ajudar a encontrar vulnerabilidades e automatizar o trabalho de testes de fuzzing de segurança desde pelo menos 2012.
Isso tem sido uma parte enorme de como encontramos vulnerabilidades e capacitamos desenvolvedores”, disse Parisa Tabriz, vice-presidente e gerente geral do Chrome.
“Mas acredito que este ano é muito diferente.
Realmente parece um ponto de inflexão tanto para ataque quanto para defesa.”
O Chrome já caminha para uma nova rotina, com um grande lançamento a cada duas semanas e atualizações de segurança extras semanais.
Mas o volume de descobertas de vulnerabilidades tem sido tão intenso, e a equipe obteve tanto sucesso ao incorporar novos modelos e recursos de IA ao fluxo de trabalho de identificar e corrigir bugs, que, por enquanto, o grupo está testando uma cadência de duas atualizações de segurança por semana.
“A forma como chegamos aqui foi porque tivemos tantas correções de vulnerabilidades que fazer duas [atualizações por semana] neste período parecia o mais sensato para nós”, afirmou Doug Turner, diretor de engenharia do Chrome.
“Isso vai durar para sempre? Ninguém sabe.”
Turner, assim como outros pesquisadores de segurança, diz ver sinais de que a explosão de vulnerabilidades impulsionada por IA, ou apocalipse, dependendo do ponto de vista, talvez não dure indefinidamente.
Pelo menos em produtos maduros e estáveis como o Chrome, parece haver uma queda, em determinado momento, no número de novas vulnerabilidades descobertas ao longo do tempo, depois que a maioria dos bugs identificáveis por IA já foi corrigida.
Isso acontece em parte porque modelos de IA podem ser treinados para desenvolver um entendimento enciclopédico de como os projetos de software evoluíram ao longo dos anos.
“Estamos treinando nosso modelo para que ele saiba sobre todas as vulnerabilidades de segurança que já vimos no passado”, disse Turner.
“Então, ele conhece cada CVE, cada bug.
E a segunda coisa realmente interessante é que ele conhece cada linha de código na história do Chromium e sabe o motivo de cada alteração.”
Todo esse contexto permite que as ferramentas de IA identifiquem possíveis fraquezas no imenso e complexo código do Chrome, inclusive em recursos, como impressão, que já não recebem tanto desenvolvimento ativo e podem atrair menos atenção humana.
Tabriz e Turner também destacam que, além da correção pontual de problemas, a equipe de segurança do Chrome está muito focada em promover mudanças estruturais na forma como o navegador é projetado, como reescrever partes do código em C++ para a linguagem Rust, considerada mais segura em termos de memória, para que o software deixe de ser afetado por categorias inteiras de bugs comuns.
“Existe esse pico de curto prazo, mas acredito que haverá um novo equilíbrio”, disse Tabriz.
“Em toda a indústria, acho muito importante que as pessoas que constroem e pensam sobre segurança de software incorporem IA aos seus fluxos de desenvolvimento.
Minha maior esperança é que tudo fique mais seguro.
Mas eu não assumo que tudo simplesmente vai melhorar.
Não acho que isso vai acontecer de graça.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...