O Google revelou, em 31 de julho, que o aumento expressivo no número de vulnerabilidades corrigidas no Chrome em 2026 está diretamente relacionado ao uso de inteligência artificial na análise do código do navegador.
O crescimento na identificação de falhas começou em abril e continuou ao longo de julho. Segundo a empresa, uma das versões mais recentes do navegador reuniu 370 correções de segurança, elevando para mais de 1.800 o número de problemas solucionados desde o início do ano.
Somente nas versões 149 e 150 do Chrome, o Google corrigiu 1.072 vulnerabilidades — quantidade superior ao total de falhas resolvidas nos 23 ciclos anteriores de atualização do navegador combinados.
De acordo com a empresa, esse avanço foi possível graças a uma estrutura de agentes baseada no Gemini, desenvolvida para analisar o código-fonte do Chrome e identificar potenciais vulnerabilidades com maior velocidade e eficiência.
IA encontra vulnerabilidade crítica presente há 13 anos
Um dos principais resultados do sistema foi a descoberta de uma falha que permaneceu no navegador durante aproximadamente 13 anos.
Identificada como CVE-2026-3545 e classificada com pontuação 9,8 no sistema CVSS, a vulnerabilidade foi corrigida no início de maio, com o lançamento do Chrome 145.
Segundo o Google, a falha poderia permitir que um processo de renderização já comprometido induzisse o navegador a acessar arquivos armazenados localmente no dispositivo.
O problema foi descrito como uma validação insuficiente de dados no componente de navegação. A exploração poderia ocorrer por meio de páginas HTML especialmente preparadas, possibilitando o escape da sandbox do navegador.
A sandbox é um mecanismo de segurança utilizado para isolar processos e impedir que conteúdos executados em uma página tenham acesso indevido a outras áreas do sistema operacional.
Estrutura de agentes utiliza histórico do Chrome
A equipe de segurança do Chrome começou a utilizar modelos de linguagem em 2023. No entanto, foi uma nova estrutura de agentes, desenvolvida no início de 2026, que passou a desempenhar um papel central na descoberta e correção de falhas.
O sistema oferece suporte a diferentes modelos de inteligência artificial e utiliza uma base de conhecimento formada por vulnerabilidades já identificadas, registros de CVEs e todo o histórico de alterações do código do Chrome.
A ferramenta também analisa arquivos SECURITY.md fornecidos pelos desenvolvedores. Essas informações são processadas por um agente responsável por avaliar criticamente os resultados encontrados por outros modelos.
Além disso, os sistemas de detecção podem executar múltiplas análises sobre o mesmo código, ampliando as chances de identificar comportamentos inseguros.
O Google afirma que adotou medidas de proteção para reduzir os riscos de comportamentos inesperados da IA. A análise é realizada apenas sobre código armazenado, em máquinas restritas e sem acesso geral à internet.
Modelos também ajudam a validar e corrigir falhas
Além da descoberta de vulnerabilidades, o Google utiliza inteligência artificial para validar relatórios, classificar problemas, priorizar correções e gerar propostas de patches.
Segundo a empresa, modelos de linguagem já produzem correções candidatas para a maioria das vulnerabilidades identificadas, aumentando significativamente a velocidade das atualizações recentes do Chrome.
Apesar da expansão do uso de IA, o Google continua utilizando outras estruturas de testes de segurança e mantém seu programa de recompensas por vulnerabilidades aberto a pesquisadores externos.
A companhia também pretende empregar inteligência artificial para impedir que novas falhas sejam incorporadas ao navegador. A estratégia busca identificar problemas o mais próximo possível do momento em que o código é enviado para revisão.
Outra frente envolve localizar trechos que, embora pareçam seguros isoladamente, possam se tornar vulneráveis quando combinados com outras partes do sistema.
Chrome testa atualizações de segurança duas vezes por semana
Para reduzir o intervalo entre a descoberta de uma vulnerabilidade e a disponibilização da correção aos usuários, o Google começou a testar um cronograma com atualizações de segurança do Chrome duas vezes por semana.
A iniciativa deverá complementar o ciclo quinzenal de lançamentos principais do navegador anunciado pela empresa em março.
O Google também trabalha na automação de notas de versão e descrições de CVEs. O objetivo é eliminar etapas manuais que possam atrasar a divulgação pública e a distribuição das correções.
A empresa reconhece que encontrar e corrigir uma vulnerabilidade representa apenas parte do processo. Também é necessário fazer com que a atualização chegue aos dispositivos antes que agentes maliciosos consigam explorar o problema.
Atualizações sem reiniciar o navegador
Entre as tecnologias em desenvolvimento está a aplicação dinâmica de patches, que permitiria instalar determinadas correções sem exigir que o usuário reinicie o Chrome.
O Google também estuda mecanismos de restauração automática de sessões e reinicializações realizadas enquanto o navegador estiver funcionando em segundo plano, sem janelas abertas.
Essas medidas buscam manter o Chrome atualizado com menor impacto sobre a experiência dos usuários.
Google amplia uso de Rust no Chrome
Outra prioridade da companhia é eliminar categorias inteiras de vulnerabilidades, especialmente falhas relacionadas à segurança de memória.
Grande parte do Chrome ainda é desenvolvida em C++, linguagem que pode permitir problemas como uso de memória após sua liberação, acessos fora dos limites previstos e estouros de números inteiros.
Para reduzir esses riscos, o Google está expandindo o MiraclePtr para novas bibliotecas e implementando o MiracleObject na thread principal da GPU. As tecnologias foram projetadas para neutralizar falhas do tipo use-after-free.
A empresa também conduz um processo chamado de “spanification”, que busca substituir formas inseguras de manipulação de memória e reduzir vulnerabilidades de leitura ou escrita fora dos limites.
Proteções adicionais no sistema de alocação de memória estão sendo incorporadas para impedir estouros de números inteiros.
No longo prazo, o Google pretende migrar partes cada vez maiores do Chrome para linguagens com maior segurança de memória, como Rust.
A estratégia inclui a criação de um kit de desenvolvimento centralizado em Rust, a substituição de trechos vulneráveis do navegador e o desenvolvimento de novos componentes modulares na linguagem.
A empresa também avalia implementar partes da interface principal do Chrome com HTML, CSS e TypeScript, reduzindo a dependência de estruturas tradicionais baseadas em C++.
Dependências externas terão atualizações automatizadas
O Google destacou ainda que a segurança do ecossistema de software de código aberto é essencial para proteger os usuários do Chrome.
A empresa já utiliza sistemas automatizados para verificar vulnerabilidades nas bibliotecas externas utilizadas pelo navegador e pretende incluir todas as dependências de terceiros em processos automáticos de atualização.
Segundo o Google, cada vulnerabilidade corrigida representa um possível ponto de entrada a menos para atacantes. A companhia considera, porém, que as correções precisam ser distribuídas e instaladas com maior rapidez do que a capacidade dos agentes maliciosos de explorar as falhas.
Com ciclos de atualização mais frequentes, aplicação dinâmica de patches, reinicializações oportunas e migração para linguagens mais seguras, o Google pretende avançar em direção a um navegador continuamente protegido, sem interromper a experiência dos usuários.
Para saber mais, clique aqui.