A inteligência artificial deixou de ser uma promessa e se tornou a força motriz por trás da segurança no navegador mais popular do mundo. O Google anunciou que, durante o mês de junho, o Chrome corrigiu 1.072 vulnerabilidades de segurança nas versões 149 e 150 , um número que supera o total de correções aplicadas nas 23 versões anteriores juntas. Esse marco não é coincidência: a empresa atribui o salto a um sistema de agentes de IA baseado no Gemini, que transformou a maneira como as vulnerabilidades são encontradas, classificadas e corrigidas.
A equipe de segurança do Chrome utiliza aprendizado de máquina há anos, mas a chegada dos modelos de linguagem em larga escala (LLM) permitiu automatizar processos que antes exigiam centenas de horas de trabalho manual . Segundo dados do próprio Google, somente em maio, a empresa impediu que mais de 20 vulnerabilidades chegassem à produção, incluindo uma falha crítica que já estava sendo explorada . Essa notícia foi divulgada por diversos veículos de comunicação, que concordam que a IA está redefinindo a segurança cibernética em escala industrial.
Um recorde sem precedentes no sistema prisional.
Os números falam por si. As versões 149 e 150 do Chrome, lançadas em junho, incluem 1.072 correções de segurança, enquanto as 23 versões anteriores juntas totalizavam 1.036. Isso significa que mais vulnerabilidades foram corrigidas em um único mês do que nos dois anos anteriores . O relatório técnico publicado pelo Google detalha que os Gerenciadores de Vulnerabilidades em Grande Escala (LLMs) estão desbloqueando capacidades sem precedentes para a descoberta automatizada de vulnerabilidades, expandindo os limites da expertise humana. A empresa enfatiza que essa abordagem não substitui os métodos tradicionais, mas sim os complementa, permitindo uma cobertura de código-fonte muito mais ampla.
O Programa de Recompensas por Vulnerabilidades (VRP) também sentiu o impacto. Em março de 2026, o Google já havia recebido mais denúncias do que em todo o ano de 2025, o que o obrigou a modificar os termos do programa para priorizar descobertas que ofereçam algo diferente do que as ferramentas automatizadas já detectam. A IA filtra spam, replica provas de conceito e atribui níveis de gravidade , economizando centenas de horas de trabalho dos desenvolvedores a cada mês.
O agente de IA que encontrou uma falha de 13 anos
Uma das descobertas mais impressionantes do novo sistema foi a de uma vulnerabilidade de escape do sandbox que estava oculta no código do Chrome há mais de 13 anos. Catalogada como CVE-2026-3545, com uma pontuação CVSS de 9.8 (crítica), essa falha permitiria que um renderizador comprometido enganasse o navegador para que lesse arquivos locais no computador. O agente baseado em Gemini, criado no início de 2026, foi responsável por detectá-la, analisando o código-fonte completo do Chrome com um nível de detalhamento que equipes humanas não conseguem manter de forma sustentável.
O Google explica que o sistema combina vários agentes especializados: alguns examinam o código-fonte em busca de padrões semânticos, outros validam se a vulnerabilidade é real e outros ainda geram possíveis correções. A revisão humana continua sendo obrigatória antes da aplicação de quaisquer alterações , mas a IA acelera consideravelmente o processo. Doug Turner, diretor de engenharia do Chrome, afirmou que os LLMs (Learning Lifecycle Management) mudaram fundamentalmente a economia da segurança cibernética, transformando a descoberta de vulnerabilidades em uma operação automatizada e em escala industrial.
Como funciona o sistema de agentes Gemini
O sistema do Google não é um modelo único, mas sim uma orquestração de agentes que trabalham em cadeia. Os agentes de detecção examinam o código do Chrome em busca de padrões que possam indicar vulnerabilidades, usando compreensão semântica do código, e não apenas padrões de texto. Os agentes de validação confirmam se a descoberta é real ou um falso positivo. Uma vez confirmada, os agentes de correção geram várias correções potenciais , enquanto os agentes de avaliação de correções as comparam com as regras e convenções de estilo do projeto Chromium.
Todo esse processo é executado em código armazenado em máquinas bloqueadas, sem acesso geral à internet, para mitigar riscos. O Google também integrou ferramentas de IA ao seu sistema de integração contínua (CI), que é executado a cada 24 horas em todos os níveis de compilação. Isso permite a detecção proativa de falhas de segurança antes que elas cheguem à produção . A empresa afirma que os modelos já geram propostas de correção para a maioria das vulnerabilidades processadas, comprovado pelo fato de o Chrome instalar um modelo de IA de 4 GB para otimizar tarefas locais.
Automatizando o processo de aplicação de patches
A IA não apenas encontra vulnerabilidades, como também participa de todo o ciclo de vida das mesmas. Da detecção à geração de patches, incluindo a classificação de relatórios e a atribuição de tarefas, o sistema filtra spam e duplicados, replica testes de prova de conceito, atribui níveis de gravidade e encaminha cada relatório para a equipe responsável . O Google estima que esse processo economiza centenas de horas de trabalho por mês para seus desenvolvedores.
Assim que uma correção está pronta, ela é integrada diretamente do repositório principal para a versão estável ativa do Chrome, que é monitorada continuamente para evitar novas vulnerabilidades. A empresa também começou a automatizar a geração de notas de versão e descrições de CVE , eliminando gargalos manuais. Em maio, esse sistema impediu que mais de 20 vulnerabilidades chegassem à produção, incluindo uma classificada como crítica.
Atualizações mais rápidas e aplicação de patches dinâmica.
Encontrar e corrigir uma vulnerabilidade não protege os usuários imediatamente. Assim que a modificação aparece no código aberto, um invasor pode estudá-la antes que a correção chegue a todos os computadores. Para reduzir essa janela de exposição, o Google Chrome está mudando seu ritmo e passando a lançar atualizações de segurança semanais a cada duas semanas, além de já estar testando o lançamento de duas atualizações de segurança por semana. Ademais, a empresa está trabalhando em um sistema de aplicação de patches dinâmico que permitirá que as atualizações sejam aplicadas sem a necessidade de reiniciar o navegador.
A partir do Chrome 150, o navegador agora pode reiniciar automaticamente no macOS para instalar uma atualização pendente quando estiver em execução em segundo plano sem nenhuma janela aberta. O objetivo a longo prazo é manter o Chrome continuamente atualizado, combinando aplicação dinâmica de patches, reinicializações automáticas durante períodos de inatividade e restauração de sessão aprimorada que evita a perda de guias abertas. O Google também está migrando para linguagens com segurança de memória, como Rust, para eliminar classes inteiras de vulnerabilidades de segurança.
A empresa confirmou que a equipe de segurança do Chrome começou a usar o LLM em 2023, colaborou com a DeepMind e o Project Zero em ferramentas como o Big Sleep e, no início de 2026, criou o agente baseado no Gemini que revolucionou a detecção de vulnerabilidades. Essa tendência não é exclusiva do Google: a Microsoft também corrigiu um número recorde de 570 vulnerabilidades em junho graças à IA , enquanto a Apple mantém números semelhantes aos de anos anteriores, o que sugere que a integração da IA à segurança faz uma diferença significativa.
A taxa de descoberta tem sido tão alta que a equipe começou a lançar patches de segurança duas vezes por semana, uma frequência maior do que a típica do setor. O Google estima que a classificação automatizada economiza centenas de horas de trabalho por mês , embora reconheça que essa medição não é precisa. A empresa enfatiza que os humanos continuam envolvidos: os patches gerados por IA são submetidos aos desenvolvedores para revisão e aprovação final, e o sistema não mescla patches automaticamente.
A descoberta da falha de segurança de 13 anos demonstra o potencial da IA para encontrar problemas que os métodos tradicionais não detectam. O Google planeja continuar usando IA para prevenir novos erros , identificando-os e eliminando-os o mais próximo possível do momento da submissão do código. A empresa também está neutralizando problemas na árvore de vulnerabilidades que poderiam afetar códigos considerados seguros isoladamente, uma estratégia para evitar o encadeamento de vulnerabilidades.
Para os usuários, a recomendação prática permanece a mesma: o Chrome baixa suas atualizações automaticamente, mas ainda precisa ser reiniciado para aplicar a maioria delas. É aconselhável prestar atenção à notificação de atualização e fechar e reabrir o navegador quando necessário. A segurança do Chrome deu um salto significativo graças à IA , mas a vigilância constante ainda é necessária em um ecossistema onde os invasores também podem usar a mesma tecnologia para encontrar vulnerabilidades.
