Permulaan keselamatan XBOW telah menerbitkan butiran eksploitasi rantaian penuh Chrome yang dikatakan menjejaskan anggaran satu bilion pengguna, mendedahkan bahawa rantaian itu dibina dalam masa enam hari sahaja dengan bantuan model GPT-5.6 Sol OpenAI yang tersedia secara terbuka — dan memperolehi anugerah $250,000 daripada Google, yang pertama diberikan di bawah peraturan ganjaran kerentanan syarikat pada 2026. Pendedahan itu muncul dalam catatan blog syarikat pada 13 Oktober dan telah diambil oleh The Hacker News pada hari berikutnya.
Rantaian penuh ialah kelas pepijat penyemak imbas yang paling berharga: satu set kelemahan yang, dirantai bersama-sama, membiarkan penyerang pergi dari halaman web biasa sehinggalah ke melaksanakan kod pada mesin asas. Dalam kes ini, XBOW berkata rantaian itu menunjukkan betapa hanya melawat tapak web dalam Chrome boleh membenarkan penyerang jauh mengambil alih komputer Windows. Semua pepijat yang terlibat kini telah dibetulkan, dan syarikat menerbitkan penulisannya selepas patch mendarat. Untuk pembaca yang menjejaki seberapa pantas keupayaan AI mengubah penyelidikan keselamatan, liputan berita terbaharu AI kami mengikuti perkembangan ini semasa ia berlaku.
Enam Hari Daripada Enam Bulan
Nombor yang paling menarik dalam pendedahan bukanlah hadiah tetapi garis masa. XBOW berkata, seorang veteran agensi perisikan yang dirujuknya menganggarkan bekas pasukannya pernah memerlukan kira-kira enam bulan untuk mengenal pasti kerentanan jenis ini dan mencapai akses penuh kepada sasaran. Pasukan empat orang syarikat, bekerja bersama GPT-5.6 Sol dan pendahulunya, menghasilkan rantaian yang dianugerahkan dalam enam hari.
Para penyelidik - Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee, dan Willem Pinckaers - sengaja memilih model yang boleh diakses oleh sesiapa sahaja, bukannya sistem keselamatan khusus atau yang mempunyai ketersediaan terhad. XBOW berkata pengiraan yang digunakan selama enam hari bekerja pada rantaian yang dianugerahkan itu menelan kos kira-kira $40,000, sebahagian kecil daripada hadiah $250,000 yang akhirnya dimenangi oleh rantaian daripada Google.
Menurut catatan blog itu, pembahagian kerja adalah jelas. AI mencari kod sumber Chrome, menguji idea, membina bukti konsep dan menulis draf awal kod eksploitasi. Penyelidik manusia menetapkan strategi, memilih tempat untuk melihat, menyemak output ejen, dan mengubah hala mereka berdasarkan hasil. XBOW menyatakan bahawa satu keputusan manusia khususnya terbukti penting untuk rantaian terakhir.
Percubaan Pertama Dibatalkan dan Pembinaan Semula Las Vegas
Laluan ke kurniaan adalah tidak linear. XBOW menetapkan rantaian penuh Chrome sebagai cabaran dalaman pada awal tahun, menyasarkan persidangan keselamatan Black Hat pada bulan Ogos sebagai tarikh akhir. Rantaian lengkap pertama pasukan itu telah dibatalkan kelayakannya selepas Google memaklumkan syarikat itu bahawa mereka sudah mengetahui tentang salah satu pepijat dalam set itu.
Oleh kerana pasukan itu sengaja menstrukturkan rantaian sebagai tiga bahagian bebas, setiap satu dengan pepijat alternatif tersedia, ia boleh membina semula dengan cepat. Bekerja dari Las Vegas pada minggu Black Hat dan DEF CON — antara Ahad, 2 Ogos dan Jumaat, 7 Ogos — para penyelidik dan ejen mereka mengumpulkan lukisan rantaian baru pada percubaan awal. Rangkaian kedua itu layak, memenangi hadiah pertama $250,000 di bawah peraturan 2026 yang dikemas kini oleh Google.
Maksudnya untuk AI dan Keselamatan Menyinggung
Pendedahan itu berlaku pada saat industri keselamatan sedang aktif membahaskan sama ada sistem AI mengubah secara bermakna ekonomi penemuan kelemahan. Hujah XBOW adalah bahawa mereka melakukannya, dan secara dramatik: syarikat itu berkata ia percaya bahawa dalam tempoh setahun, setiap satu daripada tiga pepijat dalam rantaiannya boleh didapati oleh ejen autonomi yang bekerja tanpa pengendalian manusia.
Terdapat kaveat yang patut dinyatakan. Bil pengiraan $40,000 bukanlah perkara remeh bagi kebanyakan penyerang, dan kerja itu masih memerlukan penyelidik manusia yang berpengalaman untuk mengemudi proses, mengesahkan penemuan dan membuat panggilan penghakiman yang menjadikan output ejen mentah menjadi rantaian yang layak. XBOW sendiri merangka hasilnya sebagai perkongsian antara kepakaran manusia dan kelajuan mesin, bukan demonstrasi eksploitasi autonomi sepenuhnya.
Namun, anjakan penanda aras sukar untuk diabaikan. Kelas eksploitasi yang akan dibelanjakan oleh pasukan kerajaan elit selama enam bulan telah direplikasi oleh syarikat permulaan empat orang dengan model AI komersial, belanjawan pengiraan awan yang lebih kecil daripada semakan ganjaran dan masa kalendar yang kurang daripada seminggu. Chrome digunakan oleh lebih separuh daripada pengguna internet dunia, itulah sebabnya mengapa Google melabur begitu banyak dalam mengeraskannya — dan sebab kepantasan penyelidikan berbantukan AI kini boleh menyiasat pertahanan tersebut penting di luar komuniti keselamatan.
Bagi pemain pertahanan, jawatan XBOW adalah bermata dua. Aliran kerja yang didorong oleh ejen yang sama yang mendapati pepijat tersedia untuk pasukan biru dan vendor penyemak imbas yang berlumba-lumba untuk membetulkannya, dan program hadiah Google — yang dibayar dengan segera di bawah peraturan baharunya — adalah sebahagian daripada jentera yang menambal kelemahan sebelum pendedahan awam. Butiran teknikal penuh ketiga-tiga pepijat itu tersedia dalam catatan pengiring oleh penyelidik XBOW Brendan Dolan-Gavitt.
---
Kekal Mendahului AIDapatkan berita, analisis dan penemuan terkini AI — semuanya di satu tempat.
Baca lebih banyak berita AI →
