O bug tinha treze anos. Sobreviveu a uma década de fuzzers, caçadores de recompensas e alguns dos melhores engenheiros de segurança do mundo — e caiu diante de um agente que teve permissão para rodar: um harness construído ao seu redor e um ambiente no qual seus operadores confiavam o bastante para se afastar.

Em 30 de julho de 2026, o Google publicou números que teriam soado como erro de digitação um ano atrás: o Chrome 149 e o 150 entregaram 1.072 correções de segurança entre si — mais do que os 23 marcos anteriores somados — e 2026 já passou de 1.800, com o Chrome 151 somando outras 370. O SecurityWeek e o BleepingComputer destacaram a peça central: a CVE-2026-3545, uma falha CVSS 9.8 no código de navegação do Chrome que permitia a um renderer comprometido enganar o navegador para ler arquivos locais — um escape de sandbox. Ela estava no código havia treze anos. Um agente a encontrou, e o Google a corrigiu no Chrome 145 lá em maio.

O Google tem modelos fortes há anos. A própria linha do tempo deles traz fuzzing assistido por LLM em 2023, o Naptime do Project Zero em 2024, o Big Sleep encontrando bugs reais no V8 em 2025. O número de quatro dígitos chegou no início de 2026, quando eles construíram um harness de agentes em torno desses modelos — e o harness é a parte que vale estudar, porque o harness é a parte que você pode ter.

Anatomia do harness

Reduza o anúncio à sua mecânica e você obtém uma arquitetura.

O harness alimenta os agentes com uma base de conhecimento construída a partir de cada CVE anterior do Chrome e do histórico git completo do repositório. Um agente crítico, com seu próprio contexto separado, lê os arquivos SECURITY.md e desafia o que o descobridor propõe. O harness roda várias passadas sobre o mesmo código, na teoria de que um modelo não determinístico em uma execução se torna minucioso em dez. Quando um bug é confirmado, um agente corretor rascunha patches candidatos, o crítico rebate, e os dois iteram em um ciclo que o Google descreve como uma imitação de code review — então agentes escritores de testes produzem cobertura em cada plataforma do Chrome, e só então um desenvolvedor humano olha para aquilo. A triagem recebeu o mesmo tratamento: agentes reproduzem a prova de conceito de um relatório recebido, datam a introdução do bug, avaliam a severidade e o encaminham a um responsável — trabalho que custava de cinco a trinta minutos de um engenheiro por relatório, numa escala de centenas de horas por mês.

O humano desse ciclo fica no merge, revisando uma correção candidata pronta e com testes anexados, em vez de ao lado do agente aprovando cada comando. A execução em si é autônoma. Mil correções em duas versões é uma frota rodando de madrugada, com o julgamento humano aplicado uma vez, ao que a frota traz de volta.

Leia a lista de restrições duas vezes

O post do Google diz o que rendeu aos agentes essa liberdade, na parte que a maioria da cobertura pulou. Os agentes analisam o código-fonte estritamente em repouso. Eles rodam em máquinas travadas que não têm acesso geral à internet. Uma infraestrutura dedicada intercepta cada requisição de rede e a verifica contra uma lista de permissões estrita. Subagentes são proibidos de modificar o sistema local ou de ler qualquer coisa fora dos diretórios de código-fonte.

Essa lista é a pré-condição do feito. Autonomia é o que produz escala, e autonomia é o que você não pode conceder enquanto a fronteira mora na sua atenção — enquanto a única coisa entre o agente e a sua máquina, as suas chaves e a internet aberta é você, olhando. O Google pôs a fronteira no cabo: uma rede que recusa por padrão, uma cerca no sistema de arquivos, um ambiente que carrega as regras para que os operadores não precisem carregá-las. Depois apontaram os agentes para uma das maiores bases de código do planeta e os deixaram rodar.

Essa lista de restrições é um perfil do Bromure, descrito de fora.

As restrições do harness do Google, ao lado do que um perfil do Bromure Agentic Coding faz de fábrica. Máquinas travadas correspondem à VM descartável; interceptar-e-permitir corresponde ao consentimento de saída por destino no proxy do host; a cerca na árvore de código corresponde ao workspace que a VM carrega; a revisão no merge corresponde aos guardrails mais o diff que você lê no final. Uma coluna exigiu um time de plataforma. A outra é um perfil em que você clica.

O mesmo ambiente, no seu laptop

O Bromure Agentic Coding parte da mesma premissa do harness do Google: o agente ganha autonomia do ambiente em que roda. Cada perfil roda seu agente dentro de uma VM Linux descartável em Apple Silicon, a um hipervisor de distância do macOS, e cada requisição de saída atravessa o proxy do host, onde o destino é checado contra a lista que você aprovou. A rede recusa por padrão, do jeito que a do Google recusa. Essa é a licença para deixar o agente rodar — iniciar uma tarefa, fechar a tampa, ler o diff de manhã — porque as regras valem com ou sem você olhando.

E isso torna o próprio trabalho de segurança seguro de delegar, porque trabalho de segurança tem formato de atacante. Os agentes de triagem do Google reproduzem a prova de conceito de relatórios de bugs recebidos — eles executam o exploit para ver se é real. Tente isso num laptop nu e o relatório de bug executa o comando na máquina que guarda as suas chaves. Num perfil do Bromure, a PoC detona dentro da VM descartável, onde as credenciais que ela consegue recolher são iscas do broker — os valores reais vivem no host e são injetados só no cabo, só para destinos aprovados — e qualquer lugar para onde o payload tente telefonar é uma conexão que o proxy nunca deixa sair. Você pode apontar um agente para os seus próprios relatórios de crash, mandar reproduzi-los, e falar sério.

Escala, a outra metade do número do Google, é trabalho de frota — várias passadas, agentes em paralelo — e o produto trata a frota como uma primitiva. Digite o nome de uma tarefa e um perfil de git worktree dá àquela tarefa sua própria branch, seu próprio checkout e seu próprio agente em sua própria aba, cada um dentro de sua VM; a passada noturna de varrer a base de código atrás de bugs e a tarefa de caçar o teste instável não compartilham árvore de trabalho nem raio de explosão. E para o bug difícil — aquele que merece uma segunda opinião — o modo Fusion coloca um painel de modelos no mesmo prompt com um juiz para reconciliá-los, que é o insight das várias passadas do Google aplicado no momento em que mais rende.

Então o humano senta onde o Google o colocou: no portão. Durante a execução, os guardrails pausam as ações destrutivas — o force-push, a deleção, a chamada de API que muda estado — para um diálogo no host, e todo o resto flui. No final, você revisa um diff, do jeito que os desenvolvedores do Chrome revisam uma correção candidata com testes anexados. Essa divisão de trabalho — julgamento no portão, autonomia durante a execução — separa um agente que autocompleta a sua noite de um agente que lhe entrega números com ponto de milhar.

Duas histórias, uma lição

Leia a notícia desta semana ao lado da notícia da semana passada. A divulgação da Anthropic mostrou o que acontece quando o harness mente: isolamento afirmado num prompt, uma rede que permitia tudo, e agentes que invadiram três empresas reais enquanto faziam o dever de casa. O post do Google mostra a mesma variável com o sinal trocado: isolamento imposto no cabo, e agentes que corrigiram mil bugs e desenterraram um escape de sandbox de treze anos. Os modelos levaram o mesmo talento às duas histórias; o ambiente decidiu o que esse talento produziu.

Essa é a aposta que o Bromure Agentic Coding faz por você. Você já tem os modelos — a mesma classe que o Google usou. O teto do que um agente de código faz por você é se ele mora num lugar onde você pode se dar ao luxo de deixá-lo rodar. Dê a ele uma caixa que diz a verdade, um cabo que mantém as regras e um portão onde o seu julgamento se aplica, e então faça o que o ano de resultados defende: instale, entregue ao agente uma tarefa de verdade e deixe-o rodar.