O Google afirma que a inteligência artificial está aumentando de forma expressiva a quantidade de vulnerabilidades de segurança que consegue identificar e corrigir no Chrome.
Nas duas versões mais recentes do navegador, a empresa já aplicou correções para mais de 1.000 bugs de segurança, à medida que amplia o uso de IA.
Segundo o Google, o Chrome 149 e o Chrome 150 corrigiram 1.072 bugs de segurança, superando o total registrado nas 23 versões anteriores do navegador somadas.
A empresa diz que agora usa modelos de linguagem de grande porte em todo o processo de gerenciamento de vulnerabilidades.
Isso inclui descobrir falhas, reproduzir relatos, definir a gravidade, distribuir bugs para os desenvolvedores, gerar patches candidatos e criar testes.
O Google começou a usar LLMs para aprimorar o fuzzing de segurança em 2023, antes de trabalhar com o Project Zero no Naptime, sistema que fornecia aos modelos de IA ferramentas especializadas para pesquisa de vulnerabilidades.
Depois, a empresa colaborou com o Google DeepMind e o Project Zero no Big Sleep, um agente de descoberta de vulnerabilidades com IA que encontrou falhas no motor JavaScript V8 do Chrome e em componentes gráficos.
No início de 2026, o Google criou um agente impulsionado por Gemini para vasculhar o código-fonte mais amplo do Chrome em busca de vulnerabilidades, ao mesmo tempo em que reduzia falsos positivos.
Uma das vulnerabilidades descobertas pelo sistema foi uma fuga do sandbox do Chrome que permanecia no código há mais de 13 anos.
Se fosse explorada, a falha permitiria que um renderer comprometido escapasse do sandbox e enganasse o navegador para ler arquivos locais.
O Google também está incentivando seus desenvolvedores a adicionar arquivos SECURITY.md com descrições de limites de confiança e modelos de ameaça, ajudando seus sistemas de IA a identificar melhor operações com impacto em segurança.
A empresa afirma que seus fluxos de trabalho de IA com múltiplos agentes complementam, em vez de substituir, os testes de segurança já existentes, incluindo o fuzzing, que continua eficaz na descoberta de vulnerabilidades complexas.
O Google também registrou um aumento acentuado nos relatos enviados por meio do Chrome Vulnerability Reward Program.
Em março de 2026, a empresa já havia recebido mais relatórios de bugs de segurança do que em todo o ano de 2025.
Isso levou o Google a ajustar o programa para priorizar relatórios que agreguem algo além do que já é encontrado e processado por suas ferramentas automatizadas.
A empresa também está automatizando a triagem de vulnerabilidades, incluindo a filtragem de spam e duplicidades, a reprodução de exploits de prova de conceito, a atribuição de níveis de gravidade e o encaminhamento dos relatos aos desenvolvedores corretos.
O Google estima que esse processo automatizado economiza centenas de horas de trabalho de desenvolvimento por mês.
Depois que uma vulnerabilidade é confirmada, os agentes de correção geram múltiplos patches possíveis, enquanto outro agente avalia as soluções propostas e produz informações adicionais para análise dos desenvolvedores.
Em maio, segundo a empresa, esses sistemas impediram que mais de 20 vulnerabilidades chegassem à produção, incluindo um problema classificado como crítico.
Ainda assim, o Google afirma que descobrir e corrigir vulnerabilidades mais rapidamente também exige acelerar a entrega dos patches aos usuários.
Depois que uma correção de segurança é incorporada ao código-fonte público do Chrome, os hackers podem inspecionar a alteração e tentar reconstituir a vulnerabilidade antes que a atualização chegue aos usuários.
Para reduzir essa janela de exposição, o Google está migrando o Chrome para um ciclo de grandes versões a cada duas semanas, com atualizações de segurança semanais, e testa duas liberações de segurança por semana.
Para diminuir interrupções, a empresa desenvolve o “dynamic patching”, que permitiria ao Chrome aplicar atualizações sem reiniciar o navegador.
A partir do Chrome 150 no macOS, o navegador já consegue reiniciar automaticamente para aplicar uma atualização pendente quando está em segundo plano e sem janelas abertas.
O Google afirma que seu objetivo de longo prazo é manter o Chrome continuamente atualizado por meio do dynamic patching, de reinícios automáticos em períodos de inatividade e de uma melhor restauração de sessão.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...