Uma vulnerabilidade escondida no código do Chrome desde 2013 acabou de ser descoberta por uma máquina. O sistema de detecção de vulnerabilidades impulsionado por IA do Google, construído com base no modelo Gemini, identificou uma falha de alta gravidade designada CVE-2026-3545. O bug reside no componente de Navegação do Chrome e qualifica-se como uma fuga de sandbox, o que significa que um atacante poderia usá-lo para sair da camada de isolamento protetora do navegador e acessar o sistema operacional subjacente. Seu escore CVSS é 9,8 de 10.
Um convidado de 13 anos que ninguém convidou
A falha foi corrigida na versão 145 do Chrome, lançada no início de maio de 2026, mas o código explorado supostamente estava lá desde cerca de 2013. O agente de IA que a descobriu utiliza uma combinação de um banco de dados histórico de CVE e o histórico de commits do Git para rastrear metodicamente como o código evoluiu ao longo do tempo, executando sua análise em máquinas restritas que processam código inativo em isolamento.
O Google foi cuidadoso ao apresentar o sistema de IA como complementar, e não como substituto. A equipe observou que, em 2026, o fuzzing, pesquisadores humanos e relatórios externos continuaram sendo contribuidores ativos para a postura de segurança do Chrome, com as submissões externas aumentando suficientemente para exigir ajustes no Programa de Recompensa por Vulnerabilidades do Chrome.
Os números de correção são quase difíceis de acreditar
As versões 149 e 150 do Chrome juntas corrigiram 1.072 vulnerabilidades de segurança. Esse único par de lançamentos superou o total acumulado dos 23 marcos estáveis anteriores do Chrome. Até o final de julho de 2026, o total de correções de segurança para o ano havia ultrapassado 1.800, com a Chrome 151 contribuindo sozinha com mais 370 patches para esse total.
O Google também passou para um programa piloto de lançamentos de segurança duas vezes por semana, comprimindo o intervalo entre a correção interna de uma vulnerabilidade e a chegada dessa correção aos usuários. O Google está trabalhando em triagem automatizada e geração de correções, o que significa que o fluxo da descoberta à correção poderá, eventualmente, reduzir de dias para horas.
O que isso significa para o cenário de segurança
A descoberta do CVE-2026-3545 também tem implicações além do Chrome. A técnica utilizada pelo agente de IA do Google, que consiste em cruzar o código atual com padrões históricos de CVE e histórico do Git, é aplicável a praticamente qualquer grande base de código de código aberto. O kernel Linux, principais runtimes JavaScript, bibliotecas criptográficas e motores de navegador diferentes do Chrome possuem anos de código acumulado que nunca foi submetido a esse tipo de análise retrospectiva por IA.
Para infraestrutura de criptomoedas especificamente, isso é relevante. Carteiras, nodes e aplicações descentralizadas funcionam dentro de navegadores ou dependem dos modelos de segurança dos navegadores para sua camada de interface. Uma vulnerabilidade de escape de sandbox no Chrome é uma superfície de ataque potencial para qualquer coisa que opere por meio de uma extensão de navegador ou interface web. Um bug com CVSS 9.8 que permaneceu indetectado por 13 anos nessa camada é exatamente o tipo de coisa que deveria incentivar uma revisão de como os desenvolvedores de criptomoedas consideram as suposições de segurança em nível de navegador.