Chrome passa a receber patches duas vezes por semana por causa de IA caçando bugs

O time de segurança do Chrome anunciou que o navegador vai passar por um piloto de atualizações de segurança duas vezes por semana. O motivo, segundo relatório publicado pelo Google e relatado pela Wired, é o volume de vulnerabilidades encontradas com auxílio de ferramentas de IA.

O que os números mostram

Segundo o relatório, as duas versões principais lançadas em junho incluíram correções para 1.072 falhas de segurança, mais patches do que o time entregou nos 23 grandes releases anteriores somados. Boa parte dos bugs vem de submissões de pesquisadores, mas o salto foi impulsionado principalmente pelo processo interno do próprio time, que passou a incorporar modelos de IA nas etapas de descoberta, triagem e desenvolvimento de correções.

Parisa Tabriz, vice-presidente e gerente-geral do Chrome, disse à Wired que o navegador usa machine learning para achar vulnerabilidades e automatizar testes de fuzzing desde pelo menos 2012. "Mas eu acho que este ano é muito diferente. Parece mesmo um ponto de inflexão, tanto para o ataque quanto para a defesa", afirmou.

Como a cadência muda

O Chrome já vinha caminhando para um novo padrão: um release principal a cada duas semanas, com atualizações de segurança semanais adicionais. Com o pico de descobertas, o grupo decidiu testar a frequência de duas correções por semana.

"O jeito que chegamos aqui foi que tínhamos tantas correções de vulnerabilidades que, poder fornecer duas [atualizações por semana] nesse período, fez mais sentido para nós", disse Doug Turner, diretor de engenharia do Chrome. "Isso vai durar para sempre? Quem sabe."

Por que a IA acha tanta coisa

Segundo Turner, o modelo é treinado com um conhecimento enciclopédico da evolução do projeto. "Estamos treinando nosso modelo de forma que ele conheça todas as vulnerabilidades de segurança que já vimos no passado. Então cada CVE, cada bug, o modelo conhece", explicou. Ele acrescentou que o modelo conhece cada linha do histórico do Chromium e o motivo pelo qual cada linha foi alterada.

Esse contexto permite que a IA aponte pontos fracos até em partes do código que já não estão em desenvolvimento ativo (o exemplo citado foi a impressão), áreas que atraem menos revisão humana.

O time indica que o pico pode não durar. Para produtos maduros e estáveis como o Chrome, haveria uma queda no número de novas vulnerabilidades depois que o grosso dos bugs achados por IA for corrigido. Tabriz fala em um "novo equilíbrio". Além do patching reativo, o time também aposta em mudanças estruturais, como reescrever partes do código C++ em Rust, linguagem "memory safe", para eliminar categorias inteiras de bugs comuns.

O que muda para quem constrói software no Brasil

Para times brasileiros, o ponto prático é a frequência das atualizações. Se o Chrome passa a distribuir correções duas vezes por semana, as janelas de atualização em fleets corporativos, quiosques, ambientes de PDV e aplicações que rodam sobre Chromium (via Electron, CEF ou WebView) precisam acompanhar esse ritmo. Políticas de atualização automática do navegador ganham peso extra.

Quem mantém aplicações que embarcam o Chromium deve ficar atento ao repasse dessas correções para as versões empacotadas, já que o ciclo de atualização de um app Electron costuma ser mais lento que o do navegador.

O relatório também sinaliza uma tendência mais ampla: a descoberta de vulnerabilidades assistida por IA está acelerando tanto do lado defensivo quanto do ofensivo. Tabriz resume o alerta: "Minha maior esperança é que tudo fique mais seguro. Mas não presumo que tudo vai simplesmente melhorar. Não acho que vai vir de graça."

Fonte: Wired