XBOW recebeu US$ 250 mil do Google por uma cadeia de três falhas no Chrome montada com agentes de IA, em relato publicado pela empresa em 13 de outubro de 2026. Para quem usa o navegador, as brechas já foram corrigidas, e basta manter o Chrome atualizado e reiniciá-lo quando o botão de atualização aparecer.
Três falhas encadeadas para rodar código no Windows
A cadeia permitia que uma página maliciosa executasse código em um computador com Windows quando a vítima apenas a abrisse. No post em que a XBOW descreve a cadeia completa, a empresa trata o caso como o primeiro pagamento sob as regras de 2026 do programa de recompensas do Google.
Segundo a CyberInsider, a primeira falha estava no compilador Maglev, do motor V8, e dava acesso à memória dentro da sandbox do V8. A segunda ficava no decodificador de imagens WebP animadas e permitia gravar dados fora dessa sandbox. A terceira estava no Crashpad, o sistema de relatório de travamentos, onde uma nova tentativa de leitura de memória podia estourar um buffer. Na demonstração, a cadeia abriu a Calculadora do Windows no Chrome Beta.
A cadeia levou seis dias de trabalho, entre 2 e 7 de agosto de 2026, e custou cerca de US$ 40 mil em processamento.
Agentes de IA com direção de pesquisadores humanos
A equipe usou o GPT-5.6 Sol, da OpenAI, modelo de acesso público e sem foco em segurança, segundo a XBOW. O desenvolvimento ocorreu durante a semana do Black Hat e da DEF CON, em Las Vegas. Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee e Willem Pinckaers definiram a estratégia, escolheram onde procurar, verificaram o trabalho dos agentes e os redirecionaram.
A decisão mais importante foi montar a cadeia em três partes independentes, cada uma com alternativa de reserva. Quando o Google informou que uma das falhas já era conhecida, a equipe trocou o componente. A CyberInsider informa que o painel do Google aprovou a recompensa em 31 de agosto, e que a Crowdfense anuncia até US$ 1,5 milhão por cadeias semelhantes no Chrome para desktop.
O que você acha? Você confia em agentes de IA para ajudar na caça a falhas de segurança? Para acompanhar mais, acesse nossa editoria de Cibersegurança.
Perguntas Frequentes
Quanto o Google pagou à XBOW pela cadeia de falhas no Chrome?
Google pagou US$ 250 mil à XBOW pela cadeia completa de três falhas no Chrome, valor que a empresa descreve como o primeiro pago sob as regras de 2026 do programa de recompensas. A CyberInsider informa que o painel aprovou o pagamento em 31 de agosto e que a Crowdfense anuncia até US$ 1,5 milhão por cadeias semelhantes.
O Chrome já recebeu a correção para as falhas da XBOW?
Chrome teve as três falhas corrigidas pelo Google, segundo a XBOW. A correção só passa a valer depois que o navegador é reiniciado, por isso a recomendação é instalar a atualização disponível e reabrir o programa quando o botão de atualização surgir. Nenhuma das duas fontes consultadas informa o número da versão que traz a correção.
A IA encontrou as falhas do Chrome sem ajuda de humanos?
XBOW diz que não. Os pesquisadores definiram a estratégia, escolheram onde procurar, verificaram o resultado dos agentes e os redirecionaram quando necessário. A empresa projeta que agentes poderão achar falhas parecidas por conta própria em cerca de um ano, mas a CyberInsider ressalva que essa previsão ainda não está comprovada.
