Pesquisadores de cibersegurança utilizaram agentes de inteligência artificial (IA) para desenvolver um ataque capaz de comprometer computadores via Google Chrome em apenas seis dias. O método explorou três vulnerabilidades desconhecidas para executar códigos maliciosos no Windows assim que a vítima carregava uma página na web, sem necessidade de downloads ou cliques.
A iniciativa foi conduzida pela empresa XBOW com o modelo GPT-5.6 Sol, da OpenAI. O Google confirmou e corrigiu todas as vulnerabilidades, além de pagar a recompensa máxima de US$250 mil (aproximadamente R$1,4 milhão na cotação atual). Esse pagamento faz parte do Programa de Recompensas por Vulnerabilidades do Chrome (VRP, na sigla em inglês), que estabelece o teto do prêmio para falhas em cadeia e concede, no máximo, quatro premiações desse valor por ano segundo as regras atualizadas em 2026.
A exploração superou as duas camadas de proteção do navegador, conhecidas como “sandboxes”, que evitam que sites comprometidos atinjam o sistema operacional. Em resposta ao relatório da equipe de pesquisa, a empresa lançou atualizações de segurança e informou que os erros já foram corrigidos.
Dhaka, Bangladesh- 26 Nov 2024: Um close da tela de um iPhone exibindo os ícones do Google Chrome e do Microsoft Edge. Foto: Mojahid Mottakin
Para garantir a proteção do sistema, os usuários precisam reiniciar o navegador e verificar se a versão instalada é a 152.0.7977.82 ou superior. A empresa ressaltou que não há indícios de que essas falhas tenham sido exploradas contra usuários antes das correções.
Realização do ataque
O desenvolvimento do ataque ocorreu durante os eventos de segurança Black Hat e DEF CON, em Las Vegas, nos Estados Unidos, após meses de preparação da empresa. Segundo os registros da XBOW, o custo de processamento de IA durante a maratona foi de cerca de US$40 mil (aproximadamente R$225 mil).
Um dos participantes do projeto, o pesquisador Brendan Dolan-Gavitt, destacou a mudança no ritmo de trabalho do setor: “Antes dos modelos de linguagem, uma cadeia completa no Chrome levaria uma equipe de quatro pessoas cerca de seis a nove meses para ser desenvolvida. Nossa primeira submissão levou dois meses. A premiada? Seis dias”, disse ele.
A criação do ataque envolveu divisão de tarefas entre o sistema automatizado e os especialistas humanos. A inteligência artificial analisou o código-fonte (conjunto de instruções internas do navegador) do Chrome, testou hipóteses e escreveu as versões iniciais do código de exploração. Em contrapartida, os pesquisadores definiram os alvos, orientaram os agentes virtuais e decidiram quais componentes combinar para contornar a segurança do navegador.
Inteligência artificial cria falha no Chrome em seis dias e recebe R$ 1,4 milhão Foto: tadamichi
Em declaração oficial, o fundador da XBOW, Oege de Moor, ressaltou o impacto do custo e do tempo de execução para o mercado de tecnologia: “Foi necessário apenas um gasto estimado de US$40 mil em processamento e seis dias para que um único pesquisador produzisse uma cadeia que antes demandaria meses.
Falhas identificadas
As três vulnerabilidades afetavam áreas distintas do navegador:
- A primeira foi registrada como CVE-2026-85045 e permitia acesso à memória do V8, o motor de JavaScript do navegador;
- A segunda estava no decodificador de imagens animadas WebP e usou esse acesso para romper a primeira barreira de segurança;
- A terceira, catalogada como CVE-2026-78952, situava-se no Crashpad, o sistema que trata travamentos do Chrome, e transformou a intrusão inicial em controle total do computador.
Inteligência artificial cria falha no Chrome em seis dias e recebe R$ 1,4 milhão, tabela com os três bugs: Foto: Reprodução/The Hacker New
Com esse resultado, a XBOW tornou-se a primeira empresa de segurança autônoma a receber a recompensa máxima do programa de vulnerabilidades do Google sob as regras atualizadas em 2026.
Dolan-Gavitt deixou um alerta direto para quem trabalha com proteção de sistemas de informação: “Seis dias e US$40 mil não é muito tempo ou dinheiro quando a recompensa é uma cadeia completa do Chrome. O nível agora está bem mais baixo. Protejam-se em conformidade”, declarou o pesquisador.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
