Google diz que IA ajudou o Chrome a corrigir 1.072 bugs de segurança

O Google afirma que a IA ajudou o Chrome a corrigir 1.072 bugs de segurança ao longo das versões 149 e 150, superando o total corrigido nas 23 versões anteriores combinadas.

O Google utiliza agora modelos de linguagem de grande escala em quase todas as fases do processo de gestão de vulnerabilidades do Chrome.

Google utiliza IA em todos os testes de segurança do Chrome

Os sistemas de IA do Google ajudam as equipas de segurança a encontrar vulnerabilidades, reproduzir relatórios de bugs e avaliar a gravidade. Também encaminham os problemas para as equipas certas, sugerem correções e geram testes para validar as soluções, ao mesmo tempo que filtram spam, duplicados e relatórios de baixa qualidade, poupando assim centenas de horas aos engenheiros todos os meses.

Desde 2023, o Google integrou modelos de linguagem de grande escala nos seus sistemas de fuzzing, que testam o software com entradas inesperadas ou malformadas para encontrar falhas. A empresa afirma que a IA apoia, em vez de substituir, o fuzzing, que continua a ser importante para descobrir vulnerabilidades complexas.

Ficheiros de segurança dão mais contexto às ferramentas de IA

O Google está a incentivar os programadores do Chrome a adicionar ficheiros SECURITY.md aos seus projetos.

Estes documentos descrevem limites de confiança, modelos de ameaça, operações sensíveis e outras premissas de segurança. Este contexto adicional ajuda os sistemas de IA a distinguir comportamentos perigosos da atividade legítima do navegador.

O Google pretende que os programadores forneçam contexto de segurança juntamente com o código, para que as ferramentas automatizadas possam produzir resultados mais precisos e reduzir os falsos positivos.

Vários agentes de IA podem rever correções concorrentes

O Google está também a testar fluxos de trabalho com múltiplos agentes, onde vários agentes de IA analisam a mesma vulnerabilidade.

Um agente pode gerar uma correção enquanto outro a revê em termos de segurança, problemas de compatibilidade ou soluções incompletas, enquanto outros sugerem soluções alternativas.

Em maio, estes sistemas terão impedido que mais de 20 vulnerabilidades chegassem à produção, incluindo uma falha crítica.

Os programadores continuam a rever e a aprovar todas as correções, com o Google a posicionar os agentes como ferramentas de apoio, e não como substitutos dos engenheiros humanos ou dos processos de segurança existentes.

Relatórios de bugs do Chrome estão a aumentar rapidamente

O Programa de Recompensas por Vulnerabilidades do Chrome registou um aumento acentuado nas submissões, com o Google a receber mais relatórios até março de 2026 do que em todo o ano de 2025.

A pesquisa assistida por IA pode revelar muitos dos mesmos problemas que os sistemas internos, pelo que o Google está a ajustar as recompensas para dar prioridade a relatórios que acrescentem valor único, como novas técnicas de ataque, falhas não detetadas ou análises de impacto mais aprofundadas.

Google quer reduzir a janela de correção do Chrome

A descoberta mais rápida de vulnerabilidades está a pressionar o Google a acelerar as atualizações de segurança do Chrome.

Quando uma correção é publicada, os atacantes podem frequentemente fazer engenharia reversa para encontrar a falha subjacente, deixando os utilizadores expostos até instalarem a atualização e reiniciarem o navegador. Isto cria uma “janela de correção” onde podem surgir explorações antes de as correções serem amplamente aplicadas.

Para resolver este problema, o Google está a testar lançamentos de segurança quinzenais para o Chrome e a desenvolver correções dinâmicas que podem aplicar algumas atualizações sem reiniciar. Em conjunto, estas alterações visam reduzir o tempo entre a disponibilização de uma correção e a proteção do utilizador, minimizando as interrupções.

Ferramentas de segurança com IA estão a encontrar mais vulnerabilidades

Outras empresas de tecnologia também estão a utilizar agentes de IA para detetar falhas de software, embora encontrar bugs mais rapidamente não garanta que as equipas de engenharia os possam corrigir de imediato.

A Microsoft alegadamente não consegue resolver todos os bugs encontrados pelo Claude Mythos da Anthropic, o que evidencia como os sistemas de segurança com IA podem revelar vulnerabilidades mais rapidamente do que as empresas as conseguem investigar e corrigir.

Embora o Mythos seja útil na descoberta de vulnerabilidades, um incidente recente mostra que os agentes de IA também podem introduzir novos riscos de segurança quando os ambientes de teste não estão devidamente restringidos, como se viu quando a Anthropic afirmou que o Claude pirateou três organizações e publicou código malicioso no PyPI durante testes internos de segurança.

Entretanto, os atacantes continuam a depender mais da engenharia social e de ferramentas de acesso remoto do que apenas de vulnerabilidades de software. Numa campanha separada, golpes de suporte de TI no Microsoft Teams levaram a ataques de ransomware Chaos depois de os agentes de ameaças terem convencido os funcionários a conceder-lhes acesso remoto.