O número que importa é 1.072: bugs de segurança corrigidos no Chrome 149 e 150, os dois marcos que o Google entregou em junho. Num texto de 30 de julho, 'Stronger with every update', a equipe do Chrome Security diz que isso supera o total corrigido nos 23 marcos anteriores combinados, 1.036 bugs em dois anos pela conta do TechCrunch. O mesmo texto nomeia o empregador do descobridor: um arnês de agentes movido a Gemini que vem varrendo todo o código do Chrome desde o início do ano, com o que o Google chama de maior eficiência e menos falsos positivos que seus antecessores.

A genealogia desse arnês é a curta história da caça a bugs com IA: LLMs turbinando o fuzzing em 2023, o projeto Naptime com o Project Zero em 2024, o Big Sleep com o Google DeepMind em 2025, e agora o arnês de uso geral, que trabalha com uma base de conhecimento de todas as CVE passadas e todo o histórico Git do Chrome, arquivos SECURITY.md para as fronteiras de confiança, um agente crítico, e passagens repetidas para lidar com o não determinismo do modelo. Sua galeria de troféus já inclui um escape de sandbox que teria permitido a um renderizador comprometido ler arquivos locais, um bug que, nas palavras do Google, sobreviveu discretamente no código por mais de 13 anos. As salvaguardas importam num sistema assim, e o Google diz que o código analisado fica em repouso em máquinas trancadas sem acesso geral à internet, atrás de listas brancas de rede.

Os números do pipeline mostram o que acontece quando achar deixa de ser a restrição. Já em março, o Vulnerability Rewards Program tinha recebido mais relatórios que em todo 2025, forçando o Google a redefini-lo para aceitar só envios que acrescentem algo às descobertas internas. Uma triagem automatizada em quatro fases, filtrar spam, reproduzir provas de conceito, enriquecer metadados de severidade e autoatribuir, poupa o que o Google estima em centenas de horas de desenvolvedores por mês. Big Sleep e CodeMender, o redator de correções, agora rodam em CI a cada 24 horas sobre todas as changelists, e em maio bloquearam mais de 20 vulnerabilidades antes da produção, incluindo uma classificada como crítica. Na outra ponta, o Chrome pilota duas versões de segurança por semana para fechar a lacuna de correções, com atualização por reinício automático no macOS e 'patching dinâmico' em desenvolvimento.

O enquadramento honesto vem das próprias pessoas do Google. O diretor de engenharia do Chrome, Doug Turner, disse ao TechCrunch que os LLMs 'mudaram fundamentalmente a economia da cibersegurança, transformando a descoberta de vulnerabilidades numa operação automatizada em escala industrial', e a vice-presidente Parisa Tabriz disse a WIRED que este ano é 'um ponto de inflexão tanto para o ataque quanto para a defesa'. A metade ofensiva dessa frase é a que vale reter: a mesma economia agora vale para quem procura os mesmos bugs com piores intenções, e é por isso que a cadência de correções, não o número de descobertas, é a cifra que decide se os usuários estão mais seguros. O Patch Tuesday recorde da Microsoft em julho com 570 falhas, também assistido por IA, e as 482 correções da Apple este ano sem pico dizem que a curva é real mas desigual. Os bugs sempre estiveram no código. O que mudou em junho é que achá-los ficou barato, e corrigi-los virou o gargalo que todos podem ver.