Google diz que IA ajudou o Chrome a corrigir 1.072 bugs de segurança

O Google afirma que a IA ajudou o Chrome a corrigir 1.072 bugs de segurança nas versões Chrome 149 e Chrome 150, excedendo o total corrigido nas 23 versões anteriores combinadas.

O Google agora utiliza grandes modelos de linguagem em quase todas as etapas do processo de gestão de vulnerabilidades do Chrome.

O Google utiliza IA em todos os testes de segurança do Chrome

Os sistemas de IA do Google ajudam as equipas de segurança a encontrar vulnerabilidades, reproduzir relatórios de bugs e avaliar a gravidade. Também encaminham problemas para as equipas certas, sugerem correções e geram testes para validar as correções, ao mesmo tempo que filtram spam, duplicados e relatórios de baixa qualidade, poupando assim aos engenheiros centenas de horas por mês.

Desde 2023, o Google integrou grandes modelos de linguagem nos seus sistemas de fuzzing, que testam software com entradas inesperadas ou malformadas para encontrar falhas. A empresa afirma que a IA complementa, em vez de substituir, o fuzzing, que continua a ser importante para descobrir vulnerabilidades complexas.

Ficheiros de segurança fornecem mais contexto às ferramentas de IA

O Google está a incentivar os programadores do Chrome a adicionar ficheiros SECURITY.md aos seus projetos.

Estes documentos descrevem limites de confiança, modelos de ameaças, operações sensíveis e outras premissas de segurança. Este contexto adicional ajuda os sistemas de IA a distinguir comportamentos perigosos da atividade legítima do navegador.

O Google quer que os programadores forneçam contexto de segurança juntamente com o código, para que as ferramentas automatizadas possam produzir resultados mais precisos e reduzir falsos positivos.

Múltiplos agentes de IA podem rever correções concorrentes

O Google também está a testar fluxos de trabalho multiagente, onde vários agentes de IA analisam a mesma vulnerabilidade.

Um agente pode gerar uma correção enquanto outro a revê em termos de segurança, problemas de compatibilidade ou correções incompletas, enquanto outros sugerem soluções alternativas.

Em maio, estes sistemas terão evitado que mais de 20 vulnerabilidades chegassem à produção, incluindo uma falha crítica.

Os programadores continuam a rever e a aprovar todas as correções, com o Google a posicionar os agentes como ferramentas de apoio, em vez de substitutos para engenheiros humanos ou para os processos de segurança existentes.

Os relatórios de bugs do Chrome estão a aumentar rapidamente

O programa Vulnerability Reward do Chrome registou um aumento acentuado nas submissões, com o Google a receber mais relatórios até março de 2026 do que em todo o ano de 2025.

A investigação assistida por IA pode revelar muitos dos mesmos problemas que os sistemas internos, pelo que o Google está a ajustar as recompensas para dar prioridade a relatórios que acrescentem valor único, como novas técnicas de ataque, falhas não detetadas ou análises de impacto mais aprofundadas.

O Google quer reduzir o “patch gap” do Chrome

A descoberta mais rápida de vulnerabilidades está a levar o Google a acelerar as atualizações de segurança do Chrome.

Quando uma correção é publicada, os atacantes podem muitas vezes fazer engenharia reversa da mesma para encontrar a falha subjacente, deixando os utilizadores expostos até instalarem a atualização e reiniciarem o navegador. Isto cria um “patch gap”, em que os exploits podem surgir antes de as correções serem amplamente aplicadas.

Para resolver isto, o Google está a testar lançamentos de segurança do Chrome duas vezes por semana e a desenvolver correções dinâmicas que podem aplicar algumas atualizações sem necessidade de reinicialização. Em conjunto, estas alterações visam reduzir o tempo entre uma correção e a proteção do utilizador, minimizando ao mesmo tempo a perturbação.

As ferramentas de segurança de IA estão a encontrar mais vulnerabilidades

Outras empresas de tecnologia também estão a utilizar agentes de IA para detetar falhas de software, embora encontrar bugs mais rapidamente não garanta que as equipas de engenharia os consigam corrigir de imediato.

A Microsoft, alegadamente, não consegue dar resposta a todos os bugs encontrados pelo Claude Mythos da Anthropic, o que realça como os sistemas de segurança de IA podem revelar vulnerabilidades mais rapidamente do que as empresas as conseguem investigar e corrigir.

Embora o Mythos seja útil na descoberta de vulnerabilidades, um incidente recente mostra que os agentes de IA também podem introduzir novos riscos de segurança quando os ambientes de teste não estão devidamente restringidos, como se viu quando a Anthropic disse que o Claude invadiu três organizações e publicou código malicioso no PyPI durante testes internos de segurança.

Entretanto, os atacantes continuam a recorrer à engenharia social e a ferramentas de acesso remoto, em vez de apenas a vulnerabilidades de software. Numa campanha separada, os golpes de suporte de TI no Microsoft Teams levaram a ataques do ransomware Chaos depois de os agentes da ameaça terem persuadido os funcionários a conceder-lhes acesso remoto.