Pesquisadores usam IA para encontrar falhas no Google Chrome e recebem R$ 1,4 milhão

Pesquisadores de cibersegurança usaram agentes de inteligência artificial (IA) para construir um ataque capaz de invadir computadores pelo Google Chrome em apenas seis dias.

O sistema explorou três falhas desconhecidas para executar códigos invasores no Windows assim que a vítima abria uma página na web, sem necessidade de downloads ou cliques.

A ação foi realizada pela empresa XBOW com o modelo GPT-5.6 Sol, da OpenAI.

O Google confirmou e corrigiu todas as vulnerabilidades, além de pagar a recompensa máxima de $250 mil (cerca de R$1,4 milhão na cotação atual).

Esse movimento faz parte do Programa de Recompensas de Vulnerabilidades do Chrome (VRP, na sigla em inglês), que paga o teto do prêmio para falhas em cadeia e concede, no máximo, quatro premiações desse valor por ano sob as regras atualizadas em 2026.

A investida ultrapassou as duas camadas de proteção do navegador, conhecidas como “ sandboxes” , que impedem que sites infectados alcancem o sistema operacional.

Como resposta ao relatório da equipe de pesquisa, a empresa lançou atualizações de segurança e informou que os erros já foram corrigidos.

Para garantir a proteção do sistema, o s usuários precisam reiniciar o navegador e confirmar se a versão instalada é a 152.0.7977.82 ou superior.

A empresa reforçou que não há registro de que essas falhas tenham sido usadas contra os usuários antes dos ajustes.

Realização do ataque A criação do ataque ocorreu durante os eventos de segurança Black Hat e DEF CON, em Las Vegas, nos Estados Unidos, após meses de preparação da empresa.

De acordo com os registros de uso da XBOW, o gasto com processamento de IA durante a maratona foi de aproximadamente $40 mil (cerca de R$ 225 mil).

Participante do projeto, o pesquisador Brendan Dolan-Gavitt destacou a mudança no ritmo de trabalho do setor: “Antes dos modelos de linguagem, uma cadeia completa no Chrome levaria uma equipe de quatro pessoas cerca de seis a nove meses para ser produzida.

Nossa primeira submissão levou dois meses.

A premiada? Seis dias”, afirmou.