Η startup ασφαλείας XBOW δημοσίευσε λεπτομέρειες μιας εκμετάλλευσης πλήρους αλυσίδας του Chrome που σύμφωνα με την ίδια επηρέασε περίπου ένα δισεκατομμύριο χρήστες, αποκαλύπτοντας ότι η αλυσίδα κατασκευάστηκε σε μόλις έξι ημέρες με τη βοήθεια του διαθέσιμου στο κοινό μοντέλου GPT-5.6 Sol του OpenAI — και κέρδισε στην εταιρεία ένα μπόνους 250.000 $ από την Google, το πρώτο που απονεμήθηκε σύμφωνα με τους κανόνες vulnerability 2026 της εταιρείας. Η αποκάλυψη εμφανίστηκε σε μια ανάρτηση ιστολογίου της εταιρείας στις 13 Οκτωβρίου και λήφθηκε από το The Hacker News την επόμενη μέρα.
Μια πλήρης αλυσίδα είναι η πιο πολύτιμη κατηγορία σφαλμάτων του προγράμματος περιήγησης: ένα σύνολο ευπαθειών που, ενωμένα μεταξύ τους, αφήνουν έναν εισβολέα να περάσει από μια συνηθισμένη ιστοσελίδα μέχρι την εκτέλεση κώδικα στον υποκείμενο υπολογιστή. Σε αυτήν την περίπτωση, το XBOW λέει ότι η αλυσίδα έδειξε πώς η απλή επίσκεψη σε έναν ιστότοπο στο Chrome θα μπορούσε να επιτρέψει σε έναν απομακρυσμένο εισβολέα να καταλάβει έναν υπολογιστή με Windows. Όλα τα σφάλματα που εμπλέκονται έχουν πλέον διορθωθεί και η εταιρεία δημοσίευσε την εγγραφή της μετά την προσγείωση των ενημερώσεων κώδικα. Για τους αναγνώστες που παρακολουθούν πόσο γρήγορα αλλάζουν οι δυνατότητες της τεχνητής νοημοσύνης στην έρευνα ασφάλειας, η κάλυψη μας έκτακτες ειδήσεις AI ακολουθεί αυτές τις εξελίξεις καθώς συμβαίνουν.
Έξι μέρες αντί για έξι μήνες
Ο πιο εντυπωσιακός αριθμός στην αποκάλυψη δεν είναι το bounty αλλά το χρονοδιάγραμμα. Ο XBOW λέει ότι ένας βετεράνος της υπηρεσίας πληροφοριών που συμβουλεύτηκε υπολόγισε ότι η πρώην ομάδα του θα χρειαζόταν κάποτε περίπου έξι μήνες για να εντοπίσει αυτό το είδος ευπάθειας και να επιτύχει πλήρη πρόσβαση σε έναν στόχο. Η ομάδα τεσσάρων ατόμων της εταιρείας, που εργάζεται μαζί με το GPT-5.6 Sol και τους προκατόχους του, παρήγαγε τη βραβευμένη αλυσίδα σε έξι ημέρες.
Οι ερευνητές - Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee και Willem Pinckaers - επέλεξαν σκόπιμα ένα μοντέλο στο οποίο μπορεί να έχει πρόσβαση ο καθένας, αντί για ένα εξειδικευμένο σύστημα ασφαλείας ή ένα με περιορισμένη διαθεσιμότητα. Η XBOW λέει ότι ο υπολογισμός που χρησιμοποιήθηκε για τις έξι ημέρες εργασίας στην αλυσίδα που βραβεύτηκε κόστισε περίπου 40.000 $, ένα κλάσμα της επιβράβευσης των 250.000 $ που κέρδισε τελικά η αλυσίδα από την Google.
Σύμφωνα με την ανάρτηση του ιστολογίου, ο καταμερισμός της εργασίας ήταν ξεκάθαρος. Η τεχνητή νοημοσύνη έψαξε τον πηγαίο κώδικα του Chrome, δοκίμασε ιδέες, δημιούργησε αποδείξεις ιδέας και έγραψε πρώιμα προσχέδια του κώδικα εκμετάλλευσης. Οι ανθρώπινοι ερευνητές καθόρισαν στρατηγική, επέλεξαν πού να κοιτάξουν, έλεγξαν την παραγωγή των πρακτόρων και τους ανακατεύθυναν με βάση τα αποτελέσματα. Το XBOW σημειώνει ότι μια ανθρώπινη απόφαση συγκεκριμένα αποδείχθηκε απαραίτητη για την τελική αλυσίδα.
Μια αποκλεισμένη πρώτη προσπάθεια και μια ανακατασκευή του Λας Βέγκας
Ο δρόμος προς το μπόνους δεν ήταν γραμμικός. Το XBOW έθεσε την πλήρη αλυσίδα του Chrome ως εσωτερική πρόκληση στην αρχή του έτους, στοχεύοντας ως καταληκτική ημερομηνία τη διάσκεψη ασφαλείας Black Hat τον Αύγουστο. Η πρώτη ολοκληρωμένη αλυσίδα της ομάδας αποκλείστηκε αφού η Google ενημέρωσε την εταιρεία ότι γνώριζε ήδη για ένα από τα σφάλματα στο σετ.
Επειδή η ομάδα είχε σκόπιμα δομήσει την αλυσίδα ως τρία ανεξάρτητα μέρη, το καθένα με ένα εναλλακτικό σφάλμα διαθέσιμο, θα μπορούσε να ανακατασκευαστεί γρήγορα. Εργαζόμενοι από το Λας Βέγκας κατά τη διάρκεια της εβδομάδας Black Hat και DEF CON — μεταξύ Κυριακής 2 Αυγούστου και Παρασκευής 7 Αυγούστου — οι ερευνητές και οι πράκτορές τους συγκέντρωσαν ένα νέο σχέδιο αλυσίδας στην προηγούμενη προσπάθεια. Αυτή η δεύτερη αλυσίδα προκρίθηκε, κερδίζοντας το πρώτο βραβείο 250.000 $ σύμφωνα με τους ενημερωμένους κανόνες της Google το 2026.
Τι σημαίνει για την τεχνητή νοημοσύνη και την επιθετική ασφάλεια
Η αποκάλυψη προσγειώνεται σε μια στιγμή που η βιομηχανία ασφάλειας συζητά ενεργά εάν τα συστήματα τεχνητής νοημοσύνης αλλάζουν ουσιαστικά τα οικονομικά στοιχεία της ανακάλυψης ευπάθειας. Το επιχείρημα του XBOW είναι ότι το κάνουν, και δραματικά: η εταιρεία λέει ότι πιστεύει ότι μέσα σε ένα χρόνο, καθένα από τα τρία σφάλματα στην αλυσίδα του θα μπορούσε εύλογα να βρεθεί από αυτόνομους πράκτορες που εργάζονται χωρίς ανθρώπινο χειρισμό.
Υπάρχουν επιφυλάξεις που αξίζει να αναφερθούν. Ο υπολογισμός των 40.000 δολαρίων δεν είναι καθόλου ασήμαντος για τους περισσότερους επιτιθέμενους, και η εργασία εξακολουθούσε να απαιτεί από έμπειρους ερευνητές να κατευθύνουν τη διαδικασία, να επικυρώσουν τα ευρήματα και να κάνουν τις κρίσεις που μετέτρεψαν την παραγωγή ακατέργαστων πρακτόρων σε κατάλληλη αλυσίδα. Το ίδιο το XBOW πλαισιώνει το αποτέλεσμα ως μια συνεργασία μεταξύ της ανθρώπινης τεχνογνωσίας και της ταχύτητας της μηχανής, όχι ως επίδειξη πλήρως αυτόνομης εκμετάλλευσης.
Ωστόσο, η αλλαγή του σημείου αναφοράς είναι δύσκολο να αγνοηθεί. Μια κατηγορία εκμεταλλεύσεων για την οποία μια ελίτ κυβερνητική ομάδα θα είχε προϋπολογισμό έξι μήνες αντικαταστάθηκε από μια startup τεσσάρων ατόμων με ένα εμπορικό μοντέλο AI, έναν προϋπολογισμό υπολογισμού cloud μικρότερο από τον έλεγχο ανταμοιβής και λιγότερο από μια εβδομάδα ημερολογιακού χρόνου. Το Chrome χρησιμοποιείται από περισσότερους από τους μισούς χρήστες του διαδικτύου στον κόσμο, γι' αυτό ακριβώς η Google επενδύει τόσο βαριά στην ενίσχυση του — και γιατί η ταχύτητα με την οποία η έρευνα με τη βοήθεια τεχνητής νοημοσύνης μπορεί τώρα να διερευνήσει αυτές τις άμυνες έχει σημασία πολύ πέρα από την κοινότητα ασφαλείας.
Για τους αμυντικούς, η θέση XBOW είναι διπλής όψης. Η ίδια ροή εργασιών με γνώμονα τους πράκτορες που εντόπισε τα σφάλματα είναι διαθέσιμη στις μπλε ομάδες και τους προμηθευτές προγραμμάτων περιήγησης που αγωνίζονται για τη διόρθωσή τους και το πρόγραμμα επιβράβευσης της Google — το οποίο πληρώθηκε αμέσως σύμφωνα με τους νέους κανόνες της — είναι μέρος του μηχανισμού που επιδιορθώθηκε τα ελαττώματα πριν από τη δημόσια αποκάλυψη. Οι πλήρεις τεχνικές λεπτομέρειες των τριών σφαλμάτων είναι διαθέσιμες σε μια συνοδευτική ανάρτηση από τον ερευνητή του XBOW, Brendan Dolan-Gavitt.
---
Μείνετε μπροστά από την τεχνητή νοημοσύνηΛάβετε τα πιο πρόσφατα νέα, αναλύσεις και ανακαλύψεις για την τεχνητή νοημοσύνη — όλα σε ένα μέρος.
Διαβάστε περισσότερα νέα AI →
