Pesquisadores de cibersegurança usaram agentes de inteligência artificial (IA) para construir um ataque capaz de invadir computadores pelo Google Chrome em apenas seis dias. O sistema explorou três falhas desconhecidas para executar códigos invasores no Windows assim que a vítima abria uma página na web, sem necessidade de downloads ou cliques.A ação foi realizada pela empresa XBOW com o modelo GPT-5.6 Sol, da OpenAI. O Google confirmou e corrigiu todas as vulnerabilidades, além de pagar a recompensa máxima de $250 mil (cerca de R$1,4 milhão na cotação atual). Esse movimento faz parte do Programa de Recompensas de Vulnerabilidades do Chrome (VRP, na sigla em inglês), que paga o teto do prêmio para falhas em cadeia e concede, no máximo, quatro premiações desse valor por ano sob as regras atualizadas em 2026.A investida ultrapassou as duas camadas de proteção do navegador, conhecidas como “sandboxes”, que impedem que sites infectados alcancem o sistema operacional. Como resposta ao relatório da equipe de pesquisa, a empresa lançou atualizações de segurança e informou que os erros já foram corrigidos. Para garantir a proteção do sistema, os usuários precisam reiniciar o navegador e confirmar se a versão instalada é a 152.0.7977.82 ou superior. A empresa reforçou que não há registro de que essas falhas tenham sido usadas contra os usuários antes dos ajustes.Realização do ataqueA criação do ataque ocorreu durante os eventos de segurança Black Hat e DEF CON, em Las Vegas, nos Estados Unidos, após meses de preparação da empresa. De acordo com os registros de uso da XBOW, o gasto com processamento de IA durante a maratona foi de aproximadamente $40 mil (cerca de R$ 225 mil).Participante do projeto, o pesquisador Brendan Dolan-Gavitt destacou a mudança no ritmo de trabalho do setor: “Antes dos modelos de linguagem, uma cadeia completa no Chrome levaria uma equipe de quatro pessoas cerca de seis a nove meses para ser produzida. Nossa primeira submissão levou dois meses. A premiada? Seis dias”, afirmou.A criação do ataque contou com divisão de tarefas entre o sistema automatizado e os profissionais humanos. A inteligência artificial varreu o código-fonte (conjunto de instruções internas do navegador) do Chrome, testou hipóteses e escreveu as primeiras versões do código de exploração. Em contrapartida, os pesquisadores definiram os alvos, orientaram os agentes virtuais e decidiram quais partes seriam combinadas para quebrar a segurança do navegador. Em declaração oficial, o fundador da XBOW, Oege de Moor, ressaltou o impacto do custo e do tempo de execução para o mercado de tecnologia: “Foi necessário apenas um valor estimado de 40 mil dólares em processamento e seis dias para um único pesquisador produzir uma cadeia que antes levaria meses.Falhas identificadasAs três falhas afetavam áreas distintas do navegador:A primeira foi identificada como CVE-2026-85045 e deu acesso à memória do V8, o motor de JavaScript do programa;A segunda ocorreu no decodificador de imagens animadas WebP e usou esse acesso para quebrar a primeira barreira de segurança;A última, registrada como CVE-2026-78952, estava no Crashpad, o sistema que lida com travamentos do Chrome, e transformou a invasão inicial em controle total sobre o computador. Inteligência artificial cria falha no Chrome em seis dias e recebe R$ 1,4 milhão, tabela com os três bugs: Foto: Reprodução/The Hacker New Com o feito, a XBOW tornou-se a primeira empresa de segurança autônoma a receber a recompensa máxima do programa de vulnerabilidades da Google sob as regras atualizadas em 2026.Dolan-Gavitt deixou um alerta direto para quem trabalha na proteção de sistemas de informação. “Seis dias e 40 mil dólares não é muito tempo ou dinheiro quando a recompensa é uma cadeia completa do Chrome. A régua agora está muito mais baixa. Defendam-se de acordo”, declarou o pesquisador.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.