IA encontra tantos bugs no Chrome que Google estuda lançar atualizações duas vezes por semana

O motivo é simples: ferramentas automatizadas de análise de código estão identificando vulnerabilidades em uma escala e em uma velocidade que não eram possíveis com processos convencionais.

O Chrome 149 e o Chrome 150, lançados com poucas semanas de diferença, receberam um total combinado de 1.072 correções de bugs.

Para colocar esse número em perspectiva, essas duas versões corrigiram mais problemas do que as 23 versões anteriores do navegador somadas.

IA está vasculhando o código em uma escala inédita

Sistemas de inteligência artificial conseguem analisar enormes quantidades de código, comparar comportamentos, localizar inconsistências e testar combinações que poderiam levar equipes humanas muito mais tempo para examinar.

Essas ferramentas não substituem completamente pesquisadores e engenheiros de segurança, mas ampliam consideravelmente a capacidade de identificar trechos suspeitos.

Em pelo menos um dos casos descobertos recentemente, a tecnologia revelou uma vulnerabilidade que permanecia escondida no Chrome há aproximadamente 13 anos.

Caso fosse explorada, a falha poderia permitir que invasores escapassem das proteções de sandbox do navegador e acessassem arquivos armazenados localmente no computador da vítima.

A sandbox é uma das principais barreiras de segurança do Chrome. Ela tenta manter páginas, scripts e processos do navegador isolados do restante do sistema operacional.

Romper essa proteção pode transformar uma falha aparentemente limitada ao navegador em uma ameaça muito mais séria.

O problema não é apenas encontrar a falha

Descobrir vulnerabilidades com mais rapidez é positivo, mas também cria uma nova pressão sobre o processo de desenvolvimento.

Quanto mais falhas são encontradas, maior é a necessidade de validar as descobertas, desenvolver correções, testar possíveis regressões e distribuir os patches antes que informações técnicas possam ser utilizadas por grupos maliciosos.

O tempo entre a descoberta de uma vulnerabilidade e a instalação da correção tornou-se uma das partes mais importantes da segurança de navegadores.

Uma falha pode ser corrigida internamente pelo Google, mas milhões de usuários continuam vulneráveis enquanto não recebem e aplicam a atualização.

As mesmas ferramentas também podem ajudar invasores

Existe ainda uma preocupação inevitável: as técnicas de inteligência artificial utilizadas para encontrar vulnerabilidades defensivamente também podem ser aproveitadas por criminosos.

Modelos especializados podem analisar códigos, atualizações, componentes de código aberto e diferenças entre versões em busca de possíveis pontos de exploração.

Depois que uma correção é publicada, atacantes também podem comparar o código antigo com o novo para tentar entender exatamente qual vulnerabilidade foi eliminada.

Esse processo, conhecido como análise de diferenças ou patch diffing, já era utilizado antes da atual geração de IA.

Com sistemas automatizados mais avançados, porém, o trabalho pode se tornar muito mais rápido.

Reduzir o intervalo entre a correção e a instalação é uma das maneiras mais eficientes de diminuir essa janela de exposição.

Google pode atualizar o Chrome duas vezes por semana

O Google já vinha acelerando o desenvolvimento do Chrome e diminuindo o intervalo entre suas versões.

Agora, a empresa está testando um modelo no qual atualizações de segurança poderiam ser distribuídas duas vezes por semana.

Isso não significa necessariamente que cada atualização trará grandes mudanças visuais ou novos recursos.

A tendência é que muitas delas sejam pacotes menores, concentrados em correções de segurança e estabilidade.

Para o usuário, o navegador pode parecer praticamente o mesmo. Nos bastidores, entretanto, componentes vulneráveis seriam substituídos com muito mais frequência.

O objetivo é impedir que falhas recém-descobertas permaneçam abertas durante semanas aguardando uma atualização programada.

Atualização baixada não significa atualização instalada

Mesmo que o Google consiga distribuir correções mais rapidamente, existe um problema que depende diretamente do comportamento dos usuários.

O Chrome normalmente baixa atualizações em segundo plano, mas ainda precisa ser reiniciado para concluir a instalação.

Muitas pessoas mantêm dezenas de abas abertas e deixam o navegador funcionando por dias ou semanas sem fechá-lo completamente.

Durante esse período, a atualização pode estar pronta, mas o código vulnerável continua em execução.

Em ambientes empresariais, essa situação pode ser ainda mais complexa, especialmente quando sessões, sistemas internos, painéis e aplicativos web permanecem abertos continuamente.

A velocidade de distribuição perde parte de sua utilidade quando a instalação depende de uma ação que o usuário insiste em adiar.

Chrome 150 introduz o “zero window restart” no macOS

O Google começou a enfrentar esse problema diretamente no Chrome 150 para macOS.

O navegador passou a contar com um mecanismo chamado pela empresa de zero window restart.

O recurso permite que o Chrome conclua uma atualização quando todas as janelas forem fechadas, mesmo que o aplicativo continue ativo em segundo plano.

Quando o usuário abre uma nova janela, a versão atualizada já está em execução.

Na prática, isso elimina a necessidade de localizar o aviso de atualização e reiniciar manualmente o navegador em diversas situações.

O recurso ainda depende de o usuário fechar todas as janelas, mas reduz consideravelmente o atrito do processo.

Próximo passo pode eliminar completamente o reinício

O Google também trabalha em uma abordagem mais avançada chamada dynamic patching, ou aplicação dinâmica de correções.

A proposta é permitir que determinados componentes do Chrome sejam atualizados enquanto o navegador continua funcionando.

Caso a tecnologia seja concluída, algumas correções poderiam ser aplicadas sem fechar janelas, encerrar sessões ou reiniciar o aplicativo.

O processo seria semelhante ao que já ocorre em alguns sistemas capazes de atualizar módulos, serviços ou partes do kernel sem uma reinicialização completa.

Implementar algo desse tipo em um navegador é complexo.

O Chrome trabalha com múltiplos processos, abas independentes, extensões, aceleração gráfica, componentes de rede e diferentes mecanismos de isolamento.

Alterar partes desse ambiente em tempo real sem causar falhas, perda de dados ou comportamentos inesperados exige testes rigorosos.

O Google ainda não informou quando o dynamic patching poderá chegar aos usuários.

Mais atualizações não significam que o Chrome ficou pior

Um aumento repentino no número de falhas corrigidas pode gerar a impressão de que o navegador ficou mais inseguro.

Essa interpretação, porém, não é necessariamente correta.

Parte do crescimento pode ser resultado direto de ferramentas melhores encontrando problemas antigos que anteriormente passavam despercebidos.

Um software pode parecer estável durante anos e ainda conter vulnerabilidades ocultas em trechos raramente utilizados.

Quando a capacidade de análise melhora, o número de descobertas aumenta, mesmo que o desenvolvimento não tenha sofrido uma queda de qualidade.

Nesse contexto, a quantidade de correções também demonstra que o Google está conseguindo localizar e remover falhas que poderiam permanecer no navegador por muito mais tempo.

Um navegador é praticamente um sistema operacional

Navegadores modernos deixaram de ser simples ferramentas para abrir páginas.

O Chrome executa aplicações completas, processa vídeos, utiliza GPU, acessa câmeras e microfones, gerencia senhas, armazena dados, sincroniza contas e permite a instalação de extensões.

Também precisa interpretar HTML, CSS, JavaScript, WebAssembly, imagens, documentos, fontes e diversos formatos de mídia produzidos por fontes potencialmente desconhecidas.

Cada um desses componentes aumenta a superfície de ataque.

O navegador precisa aceitar conteúdo criado por qualquer pessoa na internet e, ao mesmo tempo, impedir que esse conteúdo comprometa o computador.

É uma das tarefas de segurança mais difíceis da computação moderna.

Empresas também terão de acelerar seus processos

Uma frequência maior de atualizações não afeta apenas usuários domésticos.

Empresas, órgãos públicos e equipes de TI costumam testar novas versões antes de distribuí-las amplamente.

Esse cuidado ajuda a evitar incompatibilidades com sistemas internos, extensões corporativas, certificados, autenticações e aplicações legadas.

Entretanto, um ciclo de atualização duas vezes por semana pode tornar processos longos de homologação impraticáveis.

Administradores terão de equilibrar dois riscos: instalar rapidamente e enfrentar possíveis incompatibilidades ou esperar demais e manter vulnerabilidades conhecidas em produção.

Políticas automatizadas, grupos de teste e implantações graduais podem se tornar ainda mais importantes.

O que os usuários devem fazer

Para usuários comuns, a recomendação continua simples: manter as atualizações automáticas ativadas e reiniciar o navegador quando houver uma correção pendente.

O status da versão pode ser verificado pelo menu do Chrome, na área de ajuda e informações sobre o navegador.

Ao abrir essa página, o Chrome normalmente verifica se existe uma atualização disponível e inicia o download automaticamente.

Também é importante manter o sistema operacional atualizado, revisar extensões instaladas e remover complementos que não sejam mais utilizados.

Uma versão recente do Chrome não elimina riscos provocados por extensões maliciosas, sistemas desatualizados ou credenciais comprometidas.

A segurança do Chrome está se tornando contínua

A descoberta de vulnerabilidades por inteligência artificial dificilmente perderá velocidade nos próximos anos.

Pelo contrário: os modelos continuarão evoluindo, analisando mais código e encontrando padrões cada vez mais complexos.

Isso deve obrigar o Google e outros desenvolvedores de navegadores a abandonar ciclos rígidos em favor de um modelo contínuo de correções.

Em vez de esperar por uma grande atualização periódica, componentes vulneráveis poderão ser substituídos assim que uma correção estiver pronta e validada.

O navegador continuará recebendo versões numeradas, mas sua segurança poderá operar de maneira cada vez mais parecida com um serviço constantemente atualizado.