Startup-ul de securitate XBOW a publicat detalii despre o exploatare a lanțului complet Chrome despre care spune că a afectat aproximativ un miliard de utilizatori, dezvăluind că lanțul a fost construit în doar șase zile cu ajutorul modelului OpenAI GPT-5.6 Sol disponibil public - și a câștigat companiei o recompensă de 250.000 de dolari de la Google, primul acordat conform regulilor de recompensă pentru vulnerabilitate ale companiei. Dezvăluirea a apărut într-o postare pe blogul companiei pe 13 octombrie și a fost preluată de The Hacker News a doua zi.

Un lanț complet este cea mai valoroasă clasă de erori de browser: un set de vulnerabilități care, înlănțuite, permit atacatorului să treacă de la o pagină web obișnuită până la executarea codului pe mașina de bază. În acest caz, XBOW spune că lanțul a arătat cum simpla vizitare a unui site web în Chrome ar putea permite unui atacator de la distanță să preia un computer Windows. Toate erorile implicate au fost acum remediate, iar compania și-a publicat articolul după ce patch-urile au ajuns. Pentru cititorii care urmăresc cât de repede capabilitățile AI schimbă cercetarea în materie de securitate, acoperirea noastră știri de ultimă oră urmărește aceste evoluții pe măsură ce se întâmplă.

Șase zile în loc de șase luni

Cel mai frapant număr din dezvăluire nu este recompensă, ci cronologia. XBOW spune că un veteran al agenției de informații pe care a consultat-o ​​a estimat că fosta sa echipă ar fi avut nevoie odată de aproximativ șase luni pentru a identifica acest tip de vulnerabilitate și a obține accesul total la o țintă. Echipa de patru persoane a companiei, care lucrează alături de GPT-5.6 Sol și predecesorii săi, a produs lanțul premiat în șase zile.

Cercetătorii – Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee și Willem Pinckaers – au ales în mod deliberat un model pe care oricine îl poate accesa, mai degrabă decât un sistem de securitate specializat sau unul cu disponibilitate limitată. XBOW spune că calculul folosit în cele șase zile de lucru pe lanțul premiat a costat aproximativ 40.000 USD, o fracțiune din recompensă de 250.000 USD pe care lanțul a câștigat-o în cele din urmă de la Google.

Potrivit postării pe blog, diviziunea muncii a fost clară. AI a căutat codul sursă al Chrome, a testat idei, a construit dovezi de concept și a scris primele schițe ale codului de exploatare. Cercetătorii umani au stabilit strategia, au ales unde să caute, au verificat rezultatele agenților și i-au redirecționat în funcție de rezultate. XBOW observă că o decizie umană în special sa dovedit esențială pentru lanțul final.

O primă încercare descalificată și o reconstrucție Las Vegas

Calea către recompensă nu a fost liniară. XBOW a stabilit lanțul complet Chrome ca o provocare internă la începutul anului, vizând conferința de securitate Black Hat din august ca termen limită. Primul lanț complet al echipei a fost descalificat după ce Google a informat compania că știa deja despre unul dintre erorile din set.

Deoarece echipa a structurat în mod deliberat lanțul ca trei părți independente, fiecare cu un bug alternativ disponibil, acesta s-ar putea reconstrui rapid. Lucrând din Las Vegas în săptămâna Black Hat și DEF CON — între duminică, 2 august și vineri, 7 august —, cercetătorii și agenții lor au asamblat un nou lanț desen pe încercarea anterioară. Al doilea lanț s-a calificat, câștigând primul premiu de 250.000 USD în conformitate cu regulile Google actualizate pentru 2026.

Ce înseamnă pentru AI și securitatea ofensivă

Dezvăluirea ajunge într-un moment în care industria securității dezbate activ dacă sistemele AI schimbă în mod semnificativ economia descoperirii vulnerabilităților. Argumentul lui XBOW este că o fac, și în mod dramatic: compania spune că crede că în decurs de un an, fiecare dintre cele trei erori din lanțul său ar putea fi găsit în mod plauzibil de agenți autonomi care lucrează fără manipulare umană.

Există avertismente care merită menționate. Factura de calcul de 40.000 de dolari este departe de a fi banală pentru majoritatea atacatorilor, iar munca a necesitat încă cercetători umani experimentați pentru a conduce procesul, a valida constatările și a face apeluri de judecată care au transformat producția de agent brut într-un lanț de calificare. XBOW însuși încadrează rezultatul ca un parteneriat între expertiza umană și viteza mașinii, nu o demonstrație a exploatării complet autonome.

Totuși, schimbarea de referință este greu de ignorat. O clasă de exploatare pentru care o echipă guvernamentală de elită și-ar bugeta șase luni a fost replicată de un startup format din patru persoane cu un model comercial de IA, un buget de calcul în cloud mai mic decât verificarea recompensei și mai puțin de o săptămână de timp calendaristic. Chrome este folosit de mai mult de jumătate dintre utilizatorii de internet din lume, tocmai de aceea Google investește atât de mult în întărirea acestuia – și de ce viteza cu care cercetarea asistată de inteligență artificială poate testa acum aceste apărări contează cu mult dincolo de comunitatea de securitate.

Pentru apărători, stâlpul XBOW este cu două tăișuri. Același flux de lucru condus de agenți care a găsit erorile este disponibil pentru echipele albastre și pentru furnizorii de browsere care se întrec pentru a le remedia, iar programul de recompense Google – care a plătit prompt conform noilor sale reguli – face parte din mecanismul care a corectat defectele înainte de dezvăluirea publică. Detaliile tehnice complete ale celor trei erori sunt disponibile într-o postare însoțitoare a cercetătorului XBOW Brendan Dolan-Gavitt.

---

Rămâneți înaintea AI

Obțineți cele mai recente știri, analize și descoperiri despre AI - toate într-un singur loc.

Citiți mai multe știri AI →