نشرت شركة XBOW الناشئة في مجال الأمن تفاصيل عن استغلال كامل لسلسلة Chrome تقول إنها أثرت على ما يقدر بمليار مستخدم، وكشفت أن السلسلة تم إنشاؤها في ستة أيام فقط بمساعدة نموذج GPT-5.6 Sol المتاح للجمهور من OpenAI - وحصلت الشركة على مكافأة قدرها 250 ألف دولار من Google، وهي أول جائزة تُمنح بموجب قواعد مكافآت الضعف الخاصة بالشركة لعام 2026. ظهر هذا الكشف في منشور على مدونة الشركة يوم 13 أكتوبر وتم التقاطه بواسطة The Hacker News في اليوم التالي.

السلسلة الكاملة هي الفئة الأكثر قيمة من أخطاء المتصفح: مجموعة من الثغرات الأمنية التي، متسلسلة معًا، تسمح للمهاجم بالانتقال من صفحة ويب عادية إلى تنفيذ التعليمات البرمجية على الجهاز الأساسي. في هذه الحالة، تقول XBOW إن السلسلة أظهرت كيف أن زيارة موقع ويب في Chrome يمكن أن تسمح للمهاجم عن بعد بالسيطرة على جهاز كمبيوتر يعمل بنظام Windows. لقد تم الآن إصلاح جميع الأخطاء المعنية، ونشرت الشركة تقريرها بعد وصول التصحيحات. بالنسبة للقراء الذين يتتبعون مدى سرعة تغيير قدرات الذكاء الاصطناعي للأبحاث الأمنية، فإن تغطيتنا أخبار الذكاء الاصطناعي العاجلة تتبع هذه التطورات فور حدوثها.

ستة أيام بدلاً من ستة أشهر

الرقم الأكثر لفتًا للانتباه في الكشف ليس المكافأة بل الجدول الزمني. تقول XBOW إن أحد المخضرمين في وكالة الاستخبارات التي استشارته قدّر أن فريقه السابق كان سيحتاج في السابق إلى حوالي ستة أشهر لتحديد هذا النوع من الضعف وتحقيق الوصول الكامل إلى الهدف. قام فريق الشركة المكون من أربعة أشخاص، والذي يعمل جنبًا إلى جنب مع GPT-5.6 Sol وأسلافه، بإنتاج السلسلة الحائزة على جوائز في ستة أيام.

اختار الباحثون - بريندان دولان جافيت، وأندريس لوكسنبرج، وباول لي، وويليم بينكيرس - عمدًا نموذجًا يمكن لأي شخص الوصول إليه، بدلاً من نظام أمني متخصص أو نظام محدود التوفر. تقول XBOW إن الحوسبة المستخدمة خلال أيام العمل الستة على السلسلة الممنوحة تكلف ما يقرب من 40 ألف دولار، وهو جزء صغير من المكافأة البالغة 250 ألف دولار التي فازت بها السلسلة في النهاية من Google.

وفقا لما جاء في المدونة، كان تقسيم العمل واضحا. لقد بحث الذكاء الاصطناعي في الكود المصدري لمتصفح Chrome، واختبر الأفكار، وقام ببناء إثباتات للمفهوم، وكتب مسودات مبكرة لشفرة الاستغلال. قام الباحثون البشريون بوضع الإستراتيجية، واختيار المكان الذي يبحثون فيه، والتحقق من مخرجات العملاء، وإعادة توجيههم بناءً على النتائج. تشير XBOW إلى أن قرارًا بشريًا واحدًا على وجه الخصوص أثبت أنه ضروري للسلسلة النهائية.

محاولة أولى غير مؤهلة وإعادة بناء لاس فيغاس

لم يكن الطريق إلى المكافأة خطيًا. قامت XBOW بتعيين سلسلة Chrome الكاملة كتحدي داخلي في بداية العام، مستهدفة مؤتمر Black Hat الأمني ​​في أغسطس كموعد نهائي لها. تم استبعاد السلسلة الكاملة الأولى للفريق بعد أن أبلغت Google الشركة بأنها كانت على علم بالفعل بأحد الأخطاء الموجودة في المجموعة.

ونظرًا لأن الفريق قام عمدًا بتنظيم السلسلة كثلاثة أجزاء مستقلة، يحتوي كل منها على خطأ بديل متاح، فيمكن إعادة بنائها بسرعة. أثناء العمل من لاس فيغاس خلال أسبوع Black Hat وDEF CON - بين الأحد 2 أغسطس والجمعة 7 أغسطس - قام الباحثون ووكلاؤهم بتجميع سلسلة جديدة مستوحاة من المحاولة السابقة. تأهلت تلك السلسلة الثانية، وفازت بالجائزة الأولى البالغة 250 ألف دولار بموجب قواعد Google المحدثة لعام 2026.

ماذا يعني ذلك بالنسبة للذكاء الاصطناعي والأمن الهجومي

يأتي هذا الكشف في وقت تناقش فيه صناعة الأمن بشكل نشط ما إذا كانت أنظمة الذكاء الاصطناعي ستغير اقتصاديات اكتشاف الثغرات الأمنية بشكل هادف. حجة XBOW هي أنهم يفعلون ذلك، وبشكل مثير: تقول الشركة إنها تعتقد أنه في غضون عام، يمكن العثور على كل خطأ من الأخطاء الثلاثة في سلسلتها من قبل عملاء مستقلين يعملون دون التعامل البشري.

هناك محاذير تستحق الذكر. إن فاتورة الحوسبة البالغة 40 ألف دولار ليست تافهة بالنسبة لمعظم المهاجمين، ولا يزال العمل يتطلب باحثين بشريين ذوي خبرة لتوجيه العملية، والتحقق من صحة النتائج، واتخاذ القرارات التي حولت مخرجات العامل الخام إلى سلسلة مؤهلة. XBOW نفسها تؤطر النتيجة على أنها شراكة بين الخبرة البشرية وسرعة الآلة، وليس عرضًا للاستغلال المستقل تمامًا.

ومع ذلك، من الصعب تجاهل التحول المعياري. تم تكرار فئة الاستغلال التي كان فريق حكومي من النخبة يخصص لها ميزانية لمدة ستة أشهر من قبل شركة ناشئة مكونة من أربعة أشخاص باستخدام نموذج ذكاء اصطناعي تجاري، وميزانية حوسبة سحابية أصغر من فحص المكافأة، وأقل من أسبوع من وقت التقويم. يستخدم متصفح Chrome من قبل أكثر من نصف مستخدمي الإنترنت في العالم، وهذا هو السبب على وجه التحديد الذي يجعل جوجل تستثمر بكثافة في تعزيزه - ولماذا السرعة التي يمكن بها الآن للأبحاث المدعومة بالذكاء الاصطناعي استكشاف تلك الدفاعات لها أهمية تتجاوز المجتمع الأمني.

بالنسبة للمدافعين، يعتبر عمود XBOW ذو حدين. نفس سير العمل الذي يحركه الوكيل والذي اكتشف الأخطاء متاح للفرق الزرقاء وبائعي المتصفحات الذين يتسابقون لإصلاحها، وبرنامج مكافآت جوجل - الذي تم دفعه على الفور بموجب قواعده الجديدة - هو جزء من الآلية التي قامت بتصحيح العيوب قبل الكشف عنها للعامة. تتوفر التفاصيل الفنية الكاملة للأخطاء الثلاثة في منشور مصاحب لباحث XBOW Brendan Dolan-Gavitt.

---

ابقَ في طليعة الذكاء الاصطناعي

احصل على آخر الأخبار والتحليلات والإنجازات في مجال الذكاء الاصطناعي — كل ذلك في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →