Guillem Alsina Gonzàlez
O setor da cibersegurança está a atravessar uma mudança estrutural impulsionada pelos grandes modelos de linguagem de inteligência artificial, que permitem automatizar a identificação e a correção de vulnerabilidades a uma escala superior à capacidade dos processos de análise manual.
Aproveitando estas novas possibilidades, a equipa responsável pelo desenvolvimento do navegador Chrome tem vindo a integrar progressivamente ferramentas de IA na gestão do ciclo de vida das falhas de segurança, desde a deteção e classificação até à aplicação das respetivas atualizações.
Ao longo dos últimos dois anos, a Google desenvolveu sistemas para identificar falhas de segurança e corrigir o código-fonte compatíveis com vários modelos de linguagem, apoiados por uma base de conhecimento abrangente sobre vulnerabilidades anteriores e por um agente independente responsável pela avaliação das propostas.
Todo o processo de análise de código decorre em máquinas isoladas e sem acesso livre à Internet, com o objetivo de limitar eventuais comportamentos imprevistos dos sistemas automatizados.
Esta abordagem, combinada com o programa de recompensas destinado a investigadores externos que identificam falhas — os chamados bug hunters — e com um processo automatizado de classificação de vulnerabilidades, permitiu poupar centenas de horas de trabalho por mês às equipas de engenharia da Google.
O sistema filtra informação irrelevante e relatórios duplicados, reproduz os erros em ambientes específicos de sistemas operativos, complementa os dados com metadados sobre a gravidade das falhas e encaminha autonomamente cada problema para o programador mais indicado.
Para evitar que a acumulação de vulnerabilidades detetadas sobrecarregue os ciclos de desenvolvimento, a correção de erros baseia-se num fluxo de trabalho com vários agentes de IA. Estes propõem possíveis soluções, avaliam-nas de acordo com as normas internas de programação e elaboram os testes necessários para validar as correções em todas as plataformas suportadas, antes da revisão humana.
Graças a esta arquitetura, a utilização de agentes automatizados na produção de propostas de correção permitiu resolver mais de mil problemas de segurança nas versões 149 e 150 do navegador, ultrapassando o total acumulado nas 23 atualizações anteriores.
Depois de o código ser corrigido no repositório de código aberto, inicia-se um período crítico durante o qual os cibercriminosos podem analisar as alterações e explorar as vulnerabilidades antes de as equipas de informática instalarem os respetivos patches.
Para reduzir esta janela de exposição a possíveis ataques, está a ser testado um ritmo de duas atualizações de segurança por semana, ao mesmo tempo que é desenvolvida uma tecnologia de aplicação dinâmica de correções que dispensa o reinício completo do navegador.
Este sistema de atualização dinâmica substitui sequencialmente e de forma transparente os processos executados em segundo plano. Como medida complementar, foi também implementada nos sistemas operativos da Apple uma funcionalidade que reinicia automaticamente o navegador para aplicar as correções quando o utilizador fecha todas as janelas ativas.
A estratégia de segurança definida pela Google passa ainda pela migração gradual do desenvolvimento para linguagens de programação seguras desde a sua conceção, como Rust. No código escrito em C++, estão a ser aplicadas técnicas destinadas a reduzir erros relacionados com o acesso indevido a áreas de memória.
Contudo, devido ao impacto que estas verificações realizadas durante a execução podem ter no desempenho, os componentes modulares e aqueles que apresentam um histórico mais elevado de vulnerabilidades estão a ser reescritos em Rust.
Esta automatização defensiva foi igualmente alargada ao ecossistema de código aberto do qual o Chrome depende. Milhares de dependências de terceiros estão a ser transferidas para canais de atualização autónoma, permitindo instalar proativamente as versões originais mais recentes.
