A Google afirma que suas ferramentas internas de IA ajudaram o Chrome a corrigir 1.072 bugs de segurança em duas versões do navegador em junho — mais do que as 1.036 correções registradas nas 23 versões anteriores ao longo de cerca de dois anos.

Os números, divulgados junto com um white paper da Google sobre descoberta e correção de vulnerabilidades assistidas por IA, oferecem um exemplo concreto de como os grandes modelos de linguagem estão mudando a economia da segurança de software. Para fabricantes de navegadores e equipes de TI corporativa, o desenvolvimento pode significar que mais falhas são encontradas antes que os atacantes as explorem — mas também uma carga operacional muito maior para validar, priorizar e implantar correções.

A comparação cobre o Chrome 149 e o Chrome 150, os dois “marcos” lançados em junho, segundo a Google. O período anterior começou com o Chrome 126 em junho de 2024. A Google não forneceu validação independente dos números nem um detalhamento mostrando quantas correções foram diretamente geradas, descobertas ou aceleradas por IA.

O que a Google diz que mudou na segurança do Chrome

Doug Turner, diretor de engenharia do Chrome, disse à TechCrunch que os grandes modelos de linguagem transformaram a descoberta de vulnerabilidades de uma atividade amplamente manual em um processo automatizado operando em escala industrial. Ele afirmou que a Google está aplicando modelos como o Gemini para identificar e corrigir falhas antes que atacantes possam usá-las.

Essa distinção importa. O número principal da Google descreve bugs corrigidos em versões lançadas do Chrome, não necessariamente vulnerabilidades encontradas exclusivamente por um sistema de IA. O relato público da empresa indica que as ferramentas de IA apoiaram o fluxo de trabalho mais amplo, que pode incluir análise de código, identificação de padrões suspeitos, sugestão de correções e ajuda aos engenheiros para levar os patches pelos processos de teste e lançamento.

As duas versões de junho geraram 1.072 correções de segurança combinadas, ante 1.036 nas 23 versões anteriores. Em uma média simples, isso representa um aumento acentuado nas correções por versão. Mas a comparação por si só não prova que a IA causou cada correção adicional. Escopo de lançamento, mudanças nas práticas de reporte, atividade de pesquisa em segurança e a definição de bug de segurança da Google também podem afetar o total.

O gráfico e o white paper da Google devem, portanto, ser lidos melhor como evidência de uma operação de segurança em mudança, e não como um benchmark de desempenho controlado. A empresa está relatando os resultados por conta própria, e as evidências fornecidas não incluem uma auditoria de metodologia por terceiros.

A corrida mais ampla por vulnerabilidades assistida por IA

O anúncio da Google segue uma afirmação semelhante da Microsoft. No início de julho, a Microsoft disse ter corrigido um recorde de 570 falhas de segurança em suas linhas de produtos durante o Patch Tuesday mensal e atribuiu parte do salto ao uso de IA.

Juntos, os anúncios reforçam uma preocupação antiga de cibersegurança: à medida que os sistemas de IA ficam melhores em encontrar defeitos, os defensores podem descobrir mais vulnerabilidades em um ritmo mais rápido. Isso pode melhorar a segurança quando as organizações aplicam patches rapidamente, mas também pode expor fraquezas em produtos antes ignoradas e aumentar a quantidade de trabalho exigida das equipes de segurança.

O padrão não é uniforme entre as grandes empresas de tecnologia. Uma contagem independente citada pela TechCrunch constatou que a Apple havia corrigido 482 bugs em 2026, colocando-a aproximadamente no caminho de igualar ou superar o total do ano anterior. A Apple não respondeu ao pedido de comentário da publicação, e as evidências disponíveis não mostram se o uso interno de IA dela difere do da Google ou da Microsoft.

Por enquanto, a conclusão mais defensável é que alguns grandes fornecedores de software estão relatando um aumento substancial nas correções de segurança junto com uma adoção mais ampla de ferramentas de IA. Continua incerto quanto desse aumento reflete uma capacidade genuinamente nova de descoberta versus mudanças em processos de engenharia ou práticas de divulgação.

Por que os números importam para equipes de navegador e empresas

Os navegadores estão especialmente expostos a essa mudança porque combinam uma grande superfície de ataque com lançamentos frequentes. O Chrome contém componentes complexos para renderizar páginas da web, executar código, lidar com mídia, gerenciar credenciais e se conectar a serviços do sistema operacional. Uma ferramenta que encontre um defeito sutil em uma dessas áreas pode ajudar a Google a reduzir o tempo entre descoberta e correção.

Para equipes de produto e segurança que constroem sobre o Google Chrome, a implicação imediata é operacional e não teórica. Correções mais frequentes podem exigir validação mais rápida do navegador, processos de gerenciamento de patches mais rígidos e políticas mais claras para distribuir atualizações nos dispositivos dos funcionários. Empresas que atrasam atualizações do navegador podem enfrentar uma lacuna maior entre a descoberta de uma vulnerabilidade e sua implantação em campo.

A descoberta de vulnerabilidades assistida por IA também cria um problema de verificação. Resultados gerados automaticamente podem incluir falsos positivos, relatórios duplicados ou falhas difíceis de reproduzir. Mudanças de código sugeridas precisam de revisão e testes, especialmente quando um patch de segurança pode afetar desempenho, compatibilidade ou outros controles de segurança. Em um navegador usado por milhões de pessoas, uma correção ruim pode criar um novo modo de falha em escala.

A pressão competitiva também se estende aos atacantes. Se sistemas defensivos conseguem inspecionar código e identificar fraquezas mais rapidamente, pesquisadores ofensivos e grupos criminosos podem usar capacidades semelhantes para vasculhar software público, extensões de navegador, aplicativos e infraestrutura. A disputa resultante pode tornar a velocidade de patch e a implantação segura tão importantes quanto a capacidade bruta de encontrar bugs.

O que observar a seguir

O próximo sinal útil será mais detalhes da Google sobre seu processo de medição. Equipes de segurança e pesquisadores vão querer saber quantas das 1.072 correções foram descobertas por IA, quantas foram sugeridas ou implementadas com assistência do modelo e como a Google mediu o tempo economizado.

Os futuros dados de lançamento do Chrome também mostrarão se junho foi um pico incomum ou o início de um aumento sustentado. Uma comparação mais ampla entre vários navegadores pode ajudar a separar mudanças de processo específicas da Google de uma tendência mais ampla do setor.

Compradores corporativos devem acompanhar mudanças na cadência de patches do Chrome, na frequência de atualizações de emergência e nas orientações para implantação automatizada. Também devem avaliar se suas próprias ferramentas de segurança conseguem triagem de um volume maior de descobertas de vulnerabilidades sem sobrecarregar as equipes de engenharia.

Por fim, pesquisadores independentes podem examinar se o aumento dos números de correções corresponde a taxas de exploração mais baixas, janelas de remediação mais curtas ou menos vulnerabilidades graves chegando aos usuários. Corrigir mais bugs é uma medida operacional importante, mas não é, por si só, prova de que o risco geral caiu.

Perspectiva da Creati.ai

Os números do Chrome da Google tornam o debate sobre segurança em IA mais tangível. A mudança importante não é simplesmente que um modelo consegue localizar um bug; é que a IA pode comprimir várias etapas do ciclo de vida de segurança, desde encontrar uma fraqueza até preparar um patch. Isso pode dar a fornecedores bem financiados uma vantagem significativa na proteção de software amplamente utilizado.

Mas a mesma aceleração aumenta o valor da revisão disciplinada. Se a descoberta se torna abundante, priorização, validação e implantação passam a ser os gargalos. Para construtores e líderes de segurança corporativa, a questão estratégica é menos se devem usar IA e mais se seus sistemas de engenharia conseguem processar com segurança o volume que ela gera.