XBOW تبني سلسلة استغلال كاملة لـ Chrome باستخدام نموذج GPT-5.6 Sol العام من OpenAI في ستة أيام

قالت شركة الأمان XBOW إن باحثاً واحداً بنى سلسلة استغلال كاملة لـ Google Chrome في ستة أيام باستخدام وكلاء ذكاء اصطناعي يعملون على نموذج GPT-5.6 Sol العام من OpenAI. الهجوم يجمع ثلاث ثغرات مجهولة تسمح بتنفيذ كود على كمبيوتر Windows عند تحميل صفحة ويب فقط، دون الحاجة إلى النقر أو التنزيل.

أكدت Google جميع الثغرات الثلاث وأصلحتها ودفعت لـ XBOW مكافأة قصوى قدرها 250 ألف دولار مقابل سلسلة الاستغلال الكاملة لـ Chrome. وفق قواعد 2026، هذه أول مكافأة لسلسلة كاملة وأول مكافأة لشركة أمن مستقلة.

كيف تعمل سلسلة الاستغلال

يعالج Chrome كود الويب في بيئتين معزولتين (sandbox) متداخلتين، والسلسلة تجاوزت كلتيهما. في V8، محرك JavaScript الخاص بـ Chrome، منحت الثغرة الأولى المهاجم سيطرة على الذاكرة داخل المحرك. الثانية، في فك ترميز صور WebP المتحركة، استخدمت هذه السيطرة لمغادرة البيئة المعزولة الداخلية وإجراء كتابة دقيقة واحدة في ذاكرة الكمبيوتر. الثالثة، في Crashpad، معالج الأعطال في Chrome الذي يعمل خارج البيئة المعزولة، حوّلت هذه الكتابة الواحدة إلى تنفيذ كامل للكود على الجهاز.

لثغرتين معرف عام. CVE-2026-85045، ثغرة V8، أُصلحت في Chrome 152.0.7977.82 في 3 سبتمبر. CVE-2026-78952، ثغرة Crashpad، أُصلحت في Chrome 152.0.7977.65 في 25 أغسطس. ثغرة WebP أُصلحت في نفس دورة Chrome 152، لكن لا يمكن تأكيد معرف عام: المعرف المذكور لـ WebP في بيان XBOW ينتمي إلى ثغرة V8، وهو ما يؤكده Google والوصف الفني لـ XBOW.

ستة أيام و40 ألف دولار

بنت XBOW السلسلة الحاصلة على المكافأة من 2 أغسطس إلى 7 أغسطس، خلال مؤتمري Black Hat وDEF CON في لاس فيغاس. سبق السبرينت تحضير استمر شهوراً: أُطلق التحدي في يناير خلال اجتماع للزملاء في مالطا، واستغرق بناء أول سلسلة كاملة لـ Chrome شهرين. نسخة واحدة سقطت في اللحظة الأخيرة لأن الثغرة التي اعتمدت عليها كانت معروفة لدى Google مسبقاً، لكن XBOW نظمت الاستغلال في أجزاء متفاعلة مع نسخ احتياطية.

وفق سجلات الشركة، استهلك السبرينت الذي دام ستة أيام حوالي 40 ألف دولار في تكاليف الذكاء الاصطناعي. وكلاء الذكاء الاصطناعي بحثوا في كود Chrome، تحققوا من الأفكار، أنشأوا إثباتات مفهوم (PoC) وكتبوا النسخ الأولى. الباحثون اختاروا الأهداف، قدموا السياق، تحققوا من نتائج الوكلاء وقرروا أي الأجزاء يجب دمجها.

"قبل نماذج اللغة الكبيرة، كان بناء سلسلة كاملة لـ Chrome يتطلب من فريق من أربعة أشخاص حوالي 6-9 أشهر، استغرقت أول تجربة لنا شهرين. والحصول على المكافأة؟ ستة أيام"، قال باحث XBOW بريندان دولان-غافيت، الذي بنى السلسلة مع الوكلاء. قال المؤسس أوغ دي مورم: "استغرق باحث واحد حوالي 40 ألف دولار من الموارد الحاسوبية وستة أيام لبناء سلسلة كانت تستغرق شهوراً سابقاً".

التحذيرات والتصحيحات

يُحدّث Chrome نفسه تلقائياً، لكن الإصلاح لا يصبح فعالاً إلا بعد إعادة تحميل المتصفح. توصي XBOW المستخدمين بإعادة تشغيل Chrome والتأكد من أن الإصدار 152.0.7977.82 أو أحدث. وفق الشركة، لم تُستغل الثغرات أبداً ضد مستخدمي Chrome، وقبل إصدار الإصلاحات كان حوالي مليار شخص يستخدمون Chrome على Windows تحت خطر هذا النوع من الهجمات.

يدفع برنامج مكافآت ثغرات Chrome التابع لـ Google حتى 250 ألف دولار مقابل سلسلة استغلال كاملة، وهو أعلى مكافأة لتقرير واحد، وفق قواعد محدثة في 2026، ويمنح أربعة مكافآت كحد أقصى سنوياً. رسالة دولان-غافيت للمدافعين كانت مباشرة: "ستة أيام و40 ألف دولار ليسا وقتاً أو مالاً كبيرين عندما تكون النتيجة سلسلة كاملة لـ Chrome!" ختم قائلاً إن الحاجز أصبح أقل بكثير الآن واختصر بكلمتين: "حمّوا أنفسكم وفقاً لذلك."

المصادر: The Hacker News