सुरक्षा स्टार्टअप XBOW ने क्रोम पूर्ण-श्रृंखला शोषण का विवरण प्रकाशित किया है, जिसमें कहा गया है कि इसने अनुमानित एक अरब उपयोगकर्ताओं को प्रभावित किया है, जिससे पता चलता है कि श्रृंखला OpenAI के सार्वजनिक रूप से उपलब्ध GPT-5.6 Sol मॉडल की मदद से केवल छह दिनों में बनाई गई थी - और कंपनी को Google से $ 250,000 का इनाम मिला, जो कंपनी के 2026 भेद्यता पुरस्कार नियमों के तहत दिया गया पहला इनाम था। यह खुलासा 13 अक्टूबर को एक कंपनी ब्लॉग पोस्ट में दिखाई दिया और अगले दिन द हैकर न्यूज़ ने इसे उठाया।

एक पूर्ण श्रृंखला ब्राउज़र बग का सबसे मूल्यवान वर्ग है: कमजोरियों का एक सेट, जो एक साथ श्रृंखलाबद्ध है, एक हमलावर को एक सामान्य वेब पेज से अंतर्निहित मशीन पर कोड निष्पादित करने तक जाने देता है। इस मामले में, XBOW का कहना है कि श्रृंखला ने दिखाया कि कैसे क्रोम में किसी वेबसाइट पर जाने से एक दूरस्थ हमलावर को विंडोज कंप्यूटर पर कब्जा करने की अनुमति मिल सकती है। इसमें शामिल सभी बग्स को अब ठीक कर दिया गया है, और पैच आने के बाद कंपनी ने अपना लेख प्रकाशित किया है। पाठकों के लिए यह ट्रैक करने के लिए कि एआई क्षमताएं कितनी तेजी से सुरक्षा अनुसंधान को बदल रही हैं, हमारा [ब्रेकिंग एआई समाचार] (https://aibuzzwire.news) कवरेज इन विकासों का अनुसरण करता है जैसे वे होते हैं।

छह महीने के बजाय छह दिन

प्रकटीकरण में सबसे उल्लेखनीय संख्या इनाम नहीं बल्कि समयरेखा है। XBOW का कहना है कि एक खुफिया-एजेंसी के अनुभवी ने परामर्श किया था कि उनकी पूर्व टीम को इस तरह की भेद्यता की पहचान करने और लक्ष्य तक पूरी पहुंच हासिल करने के लिए लगभग छह महीने की आवश्यकता होगी। कंपनी की चार-व्यक्ति टीम ने, GPT-5.6 Sol और उसके पूर्ववर्तियों के साथ काम करते हुए, छह दिनों में सम्मानित श्रृंखला का निर्माण किया।

शोधकर्ताओं - ब्रेंडन डोलन-गैविट, एंड्रेस लुक्सेनबर्ग, बाउल ली और विलेम पिंकएर्स - ने विशेष सुरक्षा प्रणाली या प्रतिबंधित उपलब्धता वाले मॉडल के बजाय जानबूझकर एक ऐसा मॉडल चुना, जिसे कोई भी एक्सेस कर सकता है। XBOW का कहना है कि सम्मानित श्रृंखला पर छह दिनों के काम में उपयोग की गई गणना की लागत लगभग $40,000 है, जो श्रृंखला को अंततः Google से प्राप्त $250,000 के इनाम का एक अंश है।

ब्लॉग पोस्ट के अनुसार, श्रम का विभाजन स्पष्ट था। एआई ने क्रोम के स्रोत कोड की खोज की, विचारों का परीक्षण किया, अवधारणा के प्रमाण बनाए, और शोषण कोड के शुरुआती ड्राफ्ट लिखे। मानव शोधकर्ताओं ने रणनीति तय की, कहां देखना है यह चुना, एजेंटों के आउटपुट की जांच की और परिणामों के आधार पर उन्हें पुनर्निर्देशित किया। XBOW नोट करता है कि विशेष रूप से एक मानवीय निर्णय अंतिम श्रृंखला के लिए आवश्यक साबित हुआ।

एक अयोग्य पहला प्रयास और एक लास वेगास पुनर्निर्माण

इनाम का मार्ग रैखिक नहीं था। XBOW ने अगस्त में ब्लैक हैट सुरक्षा सम्मेलन को अपनी समय सीमा के रूप में लक्षित करते हुए, वर्ष की शुरुआत में क्रोम पूर्ण-श्रृंखला को एक आंतरिक चुनौती के रूप में निर्धारित किया। टीम की पहली पूरी श्रृंखला को तब अयोग्य घोषित कर दिया गया जब Google ने कंपनी को सूचित किया कि उसे सेट में एक बग के बारे में पहले से ही पता था।

क्योंकि टीम ने जानबूझकर श्रृंखला को तीन स्वतंत्र भागों के रूप में संरचित किया था, प्रत्येक में एक वैकल्पिक बग उपलब्ध था, यह जल्दी से पुनर्निर्माण कर सकता था। ब्लैक हैट और डीईएफ कॉन के सप्ताह के दौरान लास वेगास से काम करते हुए - रविवार, 2 अगस्त और शुक्रवार, 7 अगस्त के बीच - शोधकर्ताओं और उनके एजेंटों ने पहले के प्रयास पर एक नई श्रृंखला ड्राइंग तैयार की। उस दूसरी श्रृंखला ने Google के अद्यतन 2026 नियमों के तहत $250,000 का प्रथम पुरस्कार जीतकर अर्हता प्राप्त की।

एआई और आक्रामक सुरक्षा के लिए इसका क्या मतलब है

यह खुलासा ऐसे समय में हुआ है जब सुरक्षा उद्योग सक्रिय रूप से इस बात पर बहस कर रहा है कि क्या एआई सिस्टम भेद्यता खोज के अर्थशास्त्र को सार्थक रूप से बदल देता है। XBOW का तर्क यह है कि वे ऐसा करते हैं, और नाटकीय रूप से: कंपनी का कहना है कि उसका मानना ​​​​है कि एक वर्ष के भीतर, इसकी श्रृंखला में तीन बगों में से प्रत्येक को मानव हैंडलिंग के बिना काम करने वाले स्वायत्त एजेंटों द्वारा पाया जा सकता है।

कुछ चेतावनियाँ बताने लायक हैं। 40,000 डॉलर का गणना बिल अधिकांश हमलावरों के लिए मामूली बात नहीं है, और इस काम के लिए अभी भी अनुभवी मानव शोधकर्ताओं को प्रक्रिया को चलाने, निष्कर्षों को मान्य करने और निर्णय कॉल करने की आवश्यकता है जो कच्चे एजेंट आउटपुट को योग्यता श्रृंखला में बदल देती है। XBOW स्वयं परिणाम को मानव विशेषज्ञता और मशीन की गति के बीच साझेदारी के रूप में प्रस्तुत करता है, न कि पूरी तरह से स्वायत्त शोषण के प्रदर्शन के रूप में।

फिर भी, बेंचमार्क बदलाव को नज़रअंदाज़ करना कठिन है। शोषण का एक वर्ग जिसके लिए एक विशिष्ट सरकारी टीम छह महीने का बजट बनाएगी, उसे वाणिज्यिक एआई मॉडल के साथ चार-व्यक्ति स्टार्टअप द्वारा दोहराया गया था, जिसका क्लाउड कंप्यूट बजट इनाम चेक से छोटा था, और कैलेंडर समय के एक सप्ताह से भी कम था। क्रोम का उपयोग दुनिया के आधे से अधिक इंटरनेट उपयोगकर्ताओं द्वारा किया जाता है, यही कारण है कि Google इसे सख्त बनाने में इतना भारी निवेश करता है - और जिस गति से एआई-सहायता अनुसंधान अब उन सुरक्षा की जांच कर सकता है वह सुरक्षा समुदाय से परे मायने रखता है।

रक्षकों के लिए, XBOW पोस्ट दोधारी है। वही एजेंट-संचालित वर्कफ़्लो जिसने बग पाया, ब्लू टीमों और ब्राउज़र विक्रेताओं के लिए उन्हें ठीक करने के लिए उपलब्ध है, और Google का इनाम कार्यक्रम - जिसने अपने नए नियमों के तहत तुरंत भुगतान किया - उस मशीनरी का हिस्सा है जिसने सार्वजनिक प्रकटीकरण से पहले खामियों को दूर कर दिया। तीन बगों का पूरा तकनीकी विवरण XBOW शोधकर्ता ब्रेंडन डोलन-गेविट की एक सहयोगी पोस्ट में उपलब्ध है।

---

एआई से आगे रहें

नवीनतम एआई समाचार, विश्लेषण और सफलताएँ प्राप्त करें - सभी एक ही स्थान पर।

अधिक AI समाचार पढ़ें →