O numero que importa e 1.072: bugs de seguranca corrigidos no Chrome 149 e 150, os dois marcos que o Google entregou em junho. Num texto de 30 de julho, 'Stronger with every update', a equipe do Chrome Security diz que isso supera o total corrigido nos 23 marcos anteriores combinados, 1.036 bugs em dois anos pela conta do TechCrunch. O mesmo texto nomeia o empregador do descobridor: um arnes de agentes movido a Gemini que vem varrendo todo o codigo do Chrome desde o inicio do ano, com o que o Google chama de maior eficiencia e menos falsos positivos que seus antecessores.
A genealogia desse arnes e a curta historia da caca a bugs com IA: LLMs turbinando o fuzzing em 2023, o projeto Naptime com o Project Zero em 2024, o Big Sleep com o Google DeepMind em 2025, e agora o arnes de uso geral, que trabalha com uma base de conhecimento de todas as CVE passadas e todo o historico Git do Chrome, arquivos SECURITY.md para as fronteiras de confianca, um agente critico, e passagens repetidas para lidar com o nao determinismo do modelo. Sua galeria de trofeus ja inclui um escape de sandbox que teria permitido a um renderizador comprometido ler arquivos locais, um bug que, nas palavras do Google, sobreviveu discretamente no codigo por mais de 13 anos. As salvaguardas importam num sistema assim, e o Google diz que o codigo analisado fica em repouso em maquinas trancadas sem acesso geral a internet, atras de listas brancas de rede.
Os numeros do pipeline mostram o que acontece quando achar deixa de ser a restricao. Ja em marco, o Vulnerability Rewards Program tinha recebido mais relatorios que em todo 2025, forcando o Google a redefini-lo para aceitar so envios que acrescentem algo as descobertas internas. Uma triagem automatizada em quatro fases, filtrar spam, reproduzir provas de conceito, enriquecer metadados de severidade e autoatribuir, poupa o que o Google estima em centenas de horas de desenvolvedores por mes. Big Sleep e CodeMender, o redator de correcoes, agora rodam em CI a cada 24 horas sobre todas as changelists, e em maio bloquearam mais de 20 vulnerabilidades antes da producao, incluindo uma classificada como critica. Na outra ponta, o Chrome pilota duas versoes de seguranca por semana para fechar a lacuna de correcoes, com atualizacao por reinicio automatico no macOS e 'patching dinamico' em desenvolvimento.
O enquadramento honesto vem das proprias pessoas do Google. O diretor de engenharia do Chrome, Doug Turner, disse ao TechCrunch que os LLMs 'mudaram fundamentalmente a economia da ciberseguranca, transformando a descoberta de vulnerabilidades numa operacao automatizada em escala industrial', e a vice-presidente Parisa Tabriz disse a WIRED que este ano e 'um ponto de inflexao tanto para o ataque quanto para a defesa'. A metade ofensiva dessa frase e a que vale reter: a mesma economia agora vale para quem procura os mesmos bugs com piores intencoes, e e por isso que a cadencia de correcoes, nao o numero de descobertas, e a cifra que decide se os usuarios estao mais seguros. O Patch Tuesday recorde da Microsoft em julho com 570 falhas, tambem assistido por IA, e as 482 correcoes da Apple este ano sem pico dizem que a curva e real mas desigual. Os bugs sempre estiveram no codigo. O que mudou em junho e que acha-los ficou barato, e corrigi-los virou o gargalo que todos podem ver.