Xbow investește 40K în AI pentru a descoperi o vulnerabilitate majoră în Chrome

De ce AI a schimbat jocul?

Xbow a folosit GPT‑5.6 Sol de la OpenAI, evitând instrumentele specializate de securitate. Modelul a ajutat la căutarea codului sursă al Chrome, la testarea ideilor și la construirea de prototipuri demo.

Echipa a stabilit strategia, a ales zonele țintă și a verificat rezultatele algoritmului.

Cum a evoluat exploatarea?

Exploatarea a început cu exfiltrarea din sandbox‑ul motorului JavaScript V8, apoi a pătruns în sandbox‑ul procesului OS folosit de Chrome.

În final, a permis lansarea unei aplicații Windows direct dintr-o pagină web malițioasă, oferind control complet asupra mașinilor afectate.

Raportare rapidă și soluție

Xbow a transmis rapid constatări Google, care a reparat defectele în timp record.

Cercetătorii au publicat și un blog detaliat, explicând designul și implementarea exploatării, oferind transparență și resurse pentru comunitatea de securitate.

Ce spune industria?

Premiul de 250.000$ reprezintă prima plată sub noile reglementări din 2026, menite să încurajeze cercetarea de securitate. Cazul arată cum instrumentele AI moderne pot face descoperirea vulnerabilităților de mare impact accesibilă și rentabilă.

Viitorul securității asistate

Analiștii subliniază că Xbow semnalează o schimbare în modul de desfășurare a cercetării vulnerabilităților. Folosirea unui model de limbaj general în loc de scanere specializate permite iterații mai rapide și concentrare pe soluții creative.

Această abordare reduce barierele pentru firmele mici și cercetătorii independenți, extinzând potențialul de identificare a defectelor critice.

Reacția comunității și oportunități educaționale

Planul OpenAI include integrarea mai strânsă a capacităților de analiză a codului, permițând modelelor să parcurgă și să înțeleagă bazele de cod mari cu mai puține prompturi. Se anticipează că viitoarele iterații vor susține generarea automată de patch-uri, facilitând un ciclu de la descoperire la remediere. Pe măsură ce aceste instrumente se maturizează, colaborarea între dezvoltatorii AI și vânzătorii de browsere ar putea deveni o practică standard.

Blogul detaliat a stârnit discuții pe forumuri de securitate, iar experții analizează logica exploatării și propun contramăsuri. Universitățile folosesc metodologia Xbow în cursuri, ilustrând cum AI poate completa tehnicile tradiționale de reverse engineering. Prin partajarea atât a vulnerabilității, cât și a procesului de descoperire AI, Xbow a pus un precedent pentru un dialog deschis și constructiv între cercetători și stakeholderi din industrie.