استارت‌آپ امنیتی XBOW جزئیات یک اکسپلویت زنجیره کامل کروم را منتشر کرده است که می‌گوید بر روی یک میلیارد کاربر تأثیر گذاشته است و نشان می‌دهد که این زنجیره تنها در شش روز با کمک مدل GPT-5.6 Sol در دسترس عمومی OpenAI ساخته شده است - و جایزه 250,000 دلاری گوگل را برای شرکت به ارمغان آورده است، اولین موردی که طبق قوانین vulnerability 2026 شرکت اعطا می‌شود. این افشاگری در یک پست وبلاگ شرکت در 13 اکتبر ظاهر شد و روز بعد توسط The Hacker News دریافت شد.

یک زنجیره کامل با ارزش‌ترین کلاس باگ مرورگر است: مجموعه‌ای از آسیب‌پذیری‌ها که به هم متصل می‌شوند و به مهاجم اجازه می‌دهند تا از یک صفحه وب معمولی تا اجرای کد روی ماشین زیربنایی برود. در این مورد، XBOW می‌گوید این زنجیره نشان می‌دهد که چگونه به سادگی بازدید از یک وب‌سایت در کروم می‌تواند به مهاجم از راه دور اجازه دهد تا یک رایانه ویندوزی را کنترل کند. همه باگ‌های موجود در حال حاضر برطرف شده‌اند و این شرکت پس از ارسال وصله‌ها، نوشته‌های خود را منتشر کرد. برای خوانندگانی که می‌دانند قابلیت‌های هوش مصنوعی با چه سرعتی تحقیقات امنیتی را تغییر می‌دهند، پوشش [اخبار فوری هوش مصنوعی] (https://aibuzzwire.news) ما این پیشرفت‌ها را در حین وقوع دنبال می‌کند.

شش روز به جای شش ماه

قابل توجه ترین عدد در افشای جایزه نیست، بلکه جدول زمانی است. XBOW می‌گوید که یک کهنه‌کار آژانس اطلاعاتی که با او مشورت کرده است، تخمین زده است که تیم سابق او زمانی حدود شش ماه برای شناسایی این نوع آسیب‌پذیری و دستیابی به دسترسی کامل به یک هدف نیاز داشته است. تیم چهار نفره این شرکت که در کنار GPT-5.6 Sol و پیشینیان آن کار می‌کردند، زنجیره جایزه را در شش روز تولید کردند.

محققان - برندان دولان-گاویت، آندرس لوکسنبرگ، باول لی و ویلم پینکرز - عمداً مدلی را انتخاب کردند که هر کسی بتواند به آن دسترسی داشته باشد، نه یک سیستم امنیتی تخصصی یا یک سیستم با در دسترس بودن محدود. XBOW می‌گوید محاسباتی که در طول شش روز کار روی زنجیره اهدایی استفاده می‌شود، تقریباً 40000 دلار هزینه دارد که کسری از پاداش 250000 دلاری است که زنجیره در نهایت از Google دریافت کرد.

طبق پست وبلاگ، تقسیم کار مشخص بود. هوش مصنوعی کد منبع کروم را جست‌وجو کرد، ایده‌ها را آزمایش کرد، اثبات‌های مفهومی ساخت و پیش‌نویس‌های اولیه کد بهره‌برداری را نوشت. محققان انسانی استراتژی تعیین کردند، انتخاب کردند که کجا نگاه کنند، خروجی عوامل را بررسی کردند و آنها را بر اساس نتایج تغییر مسیر دادند. XBOW اشاره می کند که یک تصمیم انسانی به طور خاص برای زنجیره نهایی ضروری است.

اولین تلاش رد صلاحیت شده و بازسازی لاس وگاس

مسیر فضل خطی نبود. XBOW زنجیره کامل کروم را در آغاز سال به عنوان یک چالش داخلی تعیین کرد و کنفرانس امنیتی Black Hat را در ماه آگوست به عنوان آخرین مهلت آن هدف قرار داد. اولین زنجیره کامل این تیم پس از اینکه گوگل به شرکت اطلاع داد که از قبل از یکی از باگ های این مجموعه اطلاع داشت، رد صلاحیت شد.

از آنجایی که تیم به طور عمدی زنجیره را به عنوان سه بخش مستقل، که هر کدام با یک اشکال جایگزین در دسترس بود، ساخته بود، می‌توانست به سرعت بازسازی شود. محققان و عوامل آنها در هفته کلاه سیاه و DEF CON که از لاس وگاس کار می کردند - بین یکشنبه، 2 اوت و جمعه، 7 اوت، یک نقاشی زنجیره ای جدید از تلاش قبلی جمع آوری کردند. دومین زنجیره واجد شرایط شد و بر اساس قوانین به روز شده گوگل در سال 2026، جایزه اول 250000 دلاری را از آن خود کرد.

چه معنایی برای هوش مصنوعی و امنیت تهاجمی دارد

این افشاگری در لحظه ای انجام می شود که صنعت امنیت به طور فعال در حال بحث است که آیا سیستم های هوش مصنوعی به طور معناداری اقتصاد کشف آسیب پذیری را تغییر می دهند یا خیر. استدلال XBOW این است که آن‌ها این کار را می‌کنند و به طرز چشمگیری: این شرکت می‌گوید که معتقد است در عرض یک سال، هر یک از سه باگ موجود در زنجیره‌اش می‌توانند توسط عوامل مستقلی که بدون دست‌کاری انسان کار می‌کنند، به‌طور منطقی پیدا کنند.

اخطارهایی وجود دارد که ارزش بیان کردن دارد. صورت‌حساب 40000 دلاری محاسباتی برای بیشتر مهاجمان به دور از اهمیت است، و کار هنوز به محققان انسانی با تجربه نیاز دارد تا فرآیند را هدایت کنند، یافته‌ها را تأیید کنند و قضاوت‌هایی را انجام دهند که خروجی عامل خام را به یک زنجیره واجد شرایط تبدیل می‌کند. XBOW خود نتیجه را به عنوان مشارکتی بین تخصص انسانی و سرعت ماشین تعریف می کند، نه نمایشی از بهره برداری کاملاً مستقل.

با این حال، تغییر معیار به سختی قابل چشم پوشی است. دسته ای از سوء استفاده ها که یک تیم دولتی نخبه شش ماه برای آن بودجه اختصاص می داد، توسط یک استارت آپ چهار نفره با یک مدل هوش مصنوعی تجاری، بودجه محاسباتی ابری کمتر از بررسی پاداش و کمتر از یک هفته زمان تقویم تکرار شد. کروم توسط بیش از نیمی از کاربران اینترنت جهان استفاده می‌شود، دقیقاً به همین دلیل است که Google سرمایه‌گذاری هنگفتی برای تقویت آن انجام می‌دهد – و چرا سرعتی که تحقیقات با کمک هوش مصنوعی اکنون می‌تواند این دفاع‌ها را بررسی کند فراتر از جامعه امنیتی مهم است.

برای مدافعان، پست XBOW دو لبه است. همان گردش کار عامل محور که اشکالات را پیدا کرد در اختیار تیم‌های آبی و فروشندگان مرورگرهایی است که برای رفع آن‌ها تلاش می‌کنند، و برنامه جایزه Google - که طبق قوانین جدید آن به سرعت پرداخت شد - بخشی از دستگاهی است که نقص‌ها را قبل از افشای عمومی اصلاح کرد. جزئیات فنی کامل سه باگ در یک پست همراه توسط برندان دولان گاویت، محقق XBOW در دسترس است.

---

از هوش مصنوعی جلوتر بمانید

آخرین اخبار، تحلیل ها و پیشرفت های هوش مصنوعی را دریافت کنید - همه در یک مکان.

بیشتر بخوانید اخبار هوش مصنوعی →