สตาร์ทอัพด้านการรักษาความปลอดภัย XBOW ได้เผยแพร่รายละเอียดเกี่ยวกับการใช้ประโยชน์จาก Chrome เต็มรูปแบบที่ส่งผลกระทบต่อผู้ใช้ประมาณหนึ่งพันล้านคน โดยเผยให้เห็นว่าห่วงโซ่ดังกล่าวถูกสร้างขึ้นภายในเวลาเพียงหกวันด้วยความช่วยเหลือของโมเดล GPT-5.6 Sol ที่เผยแพร่ต่อสาธารณะของ OpenAI และทำให้บริษัทได้รับเงินรางวัล 250,000 ดอลลาร์จาก Google ซึ่งเป็นครั้งแรกที่ได้รับรางวัลภายใต้กฎการให้รางวัลช่องโหว่ของบริษัทในปี 2026 การเปิดเผยดังกล่าวปรากฏในบล็อกโพสต์ของบริษัทเมื่อวันที่ 13 ตุลาคม และได้รับรายงานโดย The Hacker News ในวันรุ่งขึ้น

ห่วงโซ่เต็มรูปแบบคือระดับข้อบกพร่องของเบราว์เซอร์ที่มีค่าที่สุด: ชุดของช่องโหว่ที่เชื่อมโยงเข้าด้วยกัน ปล่อยให้ผู้โจมตีเปลี่ยนจากหน้าเว็บธรรมดาไปจนถึงการรันโค้ดบนเครื่องที่ซ่อนอยู่ ในกรณีนี้ XBOW กล่าวว่าเครือข่ายดังกล่าวแสดงให้เห็นว่าการเยี่ยมชมเว็บไซต์ใน Chrome สามารถทำให้ผู้โจมตีจากระยะไกลเข้าควบคุมคอมพิวเตอร์ Windows ได้อย่างไร ข้อบกพร่องทั้งหมดที่เกี่ยวข้องได้รับการแก้ไขแล้ว และบริษัทได้เผยแพร่บทความหลังจากแพทช์มาถึงแล้ว สำหรับผู้อ่านที่ติดตามว่าความสามารถของ AI กำลังเปลี่ยนแปลงการวิจัยด้านความปลอดภัยได้เร็วเพียงใด รายงานข่าว ข่าวด่วน AI ของเราจะติดตามการพัฒนาเหล่านี้ทันทีที่เกิดขึ้น

หกวันแทนที่จะเป็นหกเดือน

ตัวเลขที่โดดเด่นที่สุดในการเปิดเผยไม่ใช่ค่าหัวแต่เป็นไทม์ไลน์ XBOW กล่าวว่าผู้เชี่ยวชาญจากหน่วยงานข่าวกรองที่ปรึกษาประเมินว่าครั้งหนึ่งทีมเก่าของเขาอาจต้องใช้เวลาประมาณหกเดือนเพื่อระบุช่องโหว่ประเภทนี้และบรรลุการเข้าถึงเป้าหมายทั้งหมด ทีมงานสี่คนของบริษัท ซึ่งทำงานร่วมกับ GPT-5.6 Sol และรุ่นก่อนๆ ได้สร้างห่วงโซ่ที่ได้รับรางวัลภายในหกวัน

นักวิจัย Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee และ Willem Pinckaers จงใจเลือกแบบจำลองที่ใครๆ ก็สามารถเข้าถึงได้ แทนที่จะเป็นระบบรักษาความปลอดภัยเฉพาะทางหรือแบบที่มีความพร้อมใช้งานจำกัด XBOW กล่าวว่าการคำนวณที่ใช้ตลอดหกวันของการทำงานบนเครือข่ายที่ได้รับรางวัลนั้นมีราคาประมาณ 40,000 ดอลลาร์ ซึ่งเป็นเศษเสี้ยวของค่าหัว 250,000 ดอลลาร์ที่เครือข่ายได้รับจาก Google ในที่สุด

ตามโพสต์ในบล็อก การแบ่งงานมีความชัดเจน AI ค้นหาซอร์สโค้ดของ Chrome ทดสอบแนวคิด สร้างข้อพิสูจน์แนวคิด และเขียนร่างโค้ดการหาประโยชน์ในช่วงแรกๆ นักวิจัยที่เป็นมนุษย์กำหนดกลยุทธ์ เลือกว่าจะดูที่ใด ตรวจสอบผลลัพธ์ของเจ้าหน้าที่ และเปลี่ยนเส้นทางตามผลลัพธ์ XBOW ตั้งข้อสังเกตว่าการตัดสินใจของมนุษย์โดยเฉพาะได้รับการพิสูจน์แล้วว่าจำเป็นต่อห่วงโซ่สุดท้าย

ความพยายามครั้งแรกที่ขาดคุณสมบัติและการสร้างลาสเวกัสขึ้นมาใหม่

เส้นทางสู่ค่าหัวไม่เป็นเส้นตรง XBOW กำหนดให้ Chrome เต็มรูปแบบเป็นความท้าทายภายในในช่วงต้นปี โดยกำหนดเป้าหมายการประชุมด้านความปลอดภัยของ Black Hat ในเดือนสิงหาคมเป็นกำหนดเวลา ห่วงโซ่ที่สมบูรณ์ครั้งแรกของทีมถูกตัดสิทธิ์หลังจากที่ Google แจ้งให้บริษัททราบแล้วว่าทราบเกี่ยวกับข้อบกพร่องอย่างใดอย่างหนึ่งในชุด

เนื่องจากทีมงานจงใจจัดโครงสร้างโซ่ให้เป็นสามส่วนที่แยกจากกัน โดยแต่ละส่วนมีข้อบกพร่องอื่นที่มีอยู่ จึงสามารถสร้างใหม่ได้อย่างรวดเร็ว การทำงานจากลาสเวกัสในช่วงสัปดาห์ Black Hat และ DEF CON ระหว่างวันอาทิตย์ที่ 2 สิงหาคมถึงวันศุกร์ที่ 7 สิงหาคม นักวิจัยและตัวแทนของพวกเขาได้รวบรวมภาพวาดห่วงโซ่ใหม่จากความพยายามครั้งก่อน กลุ่มที่สองนั้นผ่านเข้ารอบและได้รับรางวัลที่หนึ่งมูลค่า 250,000 ดอลลาร์ภายใต้กฎปี 2026 ที่อัปเดตของ Google

ความหมายของ AI และการรักษาความปลอดภัยที่น่ารังเกียจ

การเปิดเผยข้อมูลเกิดขึ้นในช่วงเวลาที่อุตสาหกรรมความปลอดภัยกำลังถกเถียงกันอย่างแข็งขันว่าระบบ AI เปลี่ยนแปลงเศรษฐศาสตร์ของการค้นพบช่องโหว่อย่างมีความหมายหรือไม่ ข้อโต้แย้งของ XBOW คือพวกเขาทำเช่นนั้น และน่าทึ่งมาก: บริษัทกล่าวว่าเชื่อว่าภายในหนึ่งปี จุดบกพร่องทั้งสามในห่วงโซ่ของบริษัทสามารถถูกพบได้โดยตัวแทนอิสระที่ทำงานโดยไม่มีการจัดการของมนุษย์

มีข้อแม้ที่ควรค่าแก่การระบุ การเรียกเก็บเงินค่าประมวลผลมูลค่า 40,000 ดอลลาร์นั้นไม่ใช่เรื่องเล็กน้อยสำหรับผู้โจมตีส่วนใหญ่ และงานดังกล่าวยังจำเป็นต้องมีนักวิจัยที่เป็นมนุษย์ที่มีประสบการณ์ในการควบคุมกระบวนการ ตรวจสอบสิ่งที่ค้นพบ และทำการตัดสินที่เปลี่ยนเอาท์พุตของเอเจนต์ดิบให้กลายเป็นห่วงโซ่ที่มีคุณสมบัติเหมาะสม XBOW เองวางกรอบผลลัพธ์เป็นความร่วมมือระหว่างความเชี่ยวชาญของมนุษย์และความเร็วของเครื่องจักร ไม่ใช่การสาธิตการหาประโยชน์จากระบบอัตโนมัติเต็มรูปแบบ

ถึงกระนั้น การเปลี่ยนแปลงเกณฑ์มาตรฐานก็ยากที่จะเพิกเฉย ระดับการหาประโยชน์ที่ทีมรัฐบาลชั้นสูงตั้งงบประมาณไว้หกเดือนนั้นถูกจำลองโดยสตาร์ทอัพสี่คนด้วยโมเดล AI เชิงพาณิชย์ งบประมาณการประมวลผลบนคลาวด์น้อยกว่าการตรวจสอบรางวัล และเวลาปฏิทินน้อยกว่าหนึ่งสัปดาห์ ผู้ใช้อินเทอร์เน็ตมากกว่าครึ่งหนึ่งของโลกใช้ Chrome ซึ่งเป็นเหตุผลว่าทำไม Google จึงลงทุนอย่างมากในการทำให้ Chrome แข็งแกร่ง — และเหตุใดการวิจัยที่ได้รับความช่วยเหลือจาก AI จึงสามารถตรวจสอบการป้องกันเหล่านั้นได้เร็วยิ่งขึ้นจึงมีความสำคัญมากกว่าชุมชนด้านความปลอดภัย

สำหรับกองหลัง เสา XBOW เป็นแบบสองด้าน ขั้นตอนการทำงานที่ขับเคลื่อนโดยตัวแทนแบบเดียวกับที่พบข้อบกพร่องนั้นมีให้สำหรับทีมสีน้ำเงินและผู้จำหน่ายเบราว์เซอร์ที่เร่งรีบเพื่อแก้ไขปัญหาเหล่านี้ และโปรแกรมค่าหัวของ Google ซึ่งจ่ายออกทันทีภายใต้กฎใหม่ เป็นส่วนหนึ่งของเครื่องจักรที่ได้รับการแก้ไขข้อบกพร่องก่อนที่จะเปิดเผยต่อสาธารณะ รายละเอียดทางเทคนิคทั้งหมดของข้อบกพร่องทั้งสามมีอยู่ในโพสต์ร่วมโดยนักวิจัย XBOW Brendan Dolan-Gavitt

---

ก้าวนำหน้า AI

รับข่าวสาร AI การวิเคราะห์ และความก้าวหน้าล่าสุด ทั้งหมดในที่เดียว

อ่านข่าว AI เพิ่มเติม →