Em relatório publicado nesta quinta-feira, a equipe de segurança do Chrome afirma que as duas versões principais lançadas em junho incluíram correções para 1.072 falhas de segurança — mais patches do que a equipe havia distribuído nas 23 versões anteriores somadas. Embora muitos desses bugs venham de submissões de pesquisadores, o aumento foi impulsionado principalmente pelo rápido processo interno da equipe de segurança do Chrome de uso de ferramentas de IA (Inteligência Artificial) para descoberta de vulnerabilidades, triagem e desenvolvimento de correções.
"No Chrome, nós já estávamos usando aprendizado de máquina — usando IA antes de isso se chamar IA — para ajudar a encontrar vulnerabilidades em particular e automatizar testes de fuzzing de segurança desde pelo menos 2012. Isso tem sido uma parte enorme de como encontramos vulnerabilidades e capacitamos desenvolvedores", disse à WIRED Parisa Tabriz, vice-presidente e gerente geral do Chrome. "Mas eu realmente acho que este ano é muito diferente. Parece mesmo um ponto de inflexão tanto para o ataque quanto para a defesa."
O Chrome já está caminhando para um novo padrão de lançar uma versão principal a cada duas semanas, com atualizações de segurança semanais adicionais. Mas a intensidade das descobertas de vulnerabilidades tem sido tão grande, e a equipe teve tanto sucesso ao incorporar novos modelos e recursos de IA ao fluxo de trabalho de encontrar e corrigir novos bugs, que por ora o grupo está testando uma cadência de lançar correções de segurança duas vezes por semana.
"A forma como chegamos aqui foi porque tínhamos tantas correções de vulnerabilidade, então poder oferecer duas [atualizações por semana] durante esse período fez mais sentido para nós", afirma Doug Turner, diretor de engenharia do Chrome. "Isso vai durar para sempre? Quem sabe."
Turner, assim como outros pesquisadores de segurança, diz ver indícios de que a fase de boom (ou apocalipse, dependendo de como se olhe) das vulnerabilidades por IA pode não durar para sempre. Para produtos maduros e estáveis como o Chrome, ao menos, parece haver uma queda em determinado ponto no número de novas vulnerabilidades que serão descobertas ao longo do tempo, uma vez corrigido o grosso dos bugs que podem ser encontrados com IA. Isso acontece em parte porque modelos de IA podem ser treinados para ter um conhecimento enciclopédico de como projetos de software evoluíram ao longo do tempo.
"Estamos treinando nosso modelo de forma que ele conheça cada vulnerabilidade de segurança que já vimos no passado", diz Turner. "Então, cada CVE (Vulnerabilidades e Exposições Comuns, código público de identificação de falhas), cada bug que o modelo conhece. E a segunda coisa realmente interessante é que cada linha de código no histórico do Chromium, ele sabe o motivo pelo qual aquela linha foi alterada."
Todo esse contexto permite que as ferramentas de IA se concentrem em possíveis fragilidades na enorme e complexa base de código do Chrome, inclusive em recursos (digamos, impressão) que não estão mais em desenvolvimento ativo e que podem não atrair tantos olhos humanos.
Tabriz e Turner também enfatizam que, além do corre-corre de correções, a equipe de segurança do Chrome está extremamente focada na ideia de fazer mudanças estruturais na forma como o navegador é projetado (como reescrever partes do código em C++ na linguagem de programação Rust, mais segura e "memory safe" — com gerenciamento seguro de memória) para que o software não seja mais afetado por categorias inteiras de bugs comuns.
"Há esse pico de curto prazo, mas eu realmente acho que vai haver um novo equilíbrio", afirma Tabriz. "Em toda a indústria, acho muito importante que as pessoas que estão construindo e pensando em segurança de software estejam incorporando IA aos seus fluxos de trabalho de desenvolvimento. Minha maior esperança é que tudo fique mais seguro. Mas não parto do pressuposto de que tudo vai simplesmente melhorar. Não acho que isso vai acontecer de graça."
