XBOW OpenAI-nın ictimai GPT-5.6 Sol modeli ilə Chrome eksploitini altı gündə qurdu

Təhlükəsizlik şirkəti XBOW bildirib ki, bir araşdırıcı OpenAI-nın ictimai GPT-5.6 Sol modeli üzərində işləyən AI agentləri ilə Google Chrome-un tam zəncirli eksploitini altı gündə qurdu. Hücum üç naməlum zəifliyi birləşdirir ki, yalnız veb səhifə yüklənərkən Windows kompyuterində kodu işə salsın, klik və ya yükləmə olmadan.

Google üç zəifliyi təsdiqlədi, düzəldib və XBOW-a tam Chrome eksploiti üçün maksimum 250 000 dollar mükafat ödədi. 2026-cı il qaydalarına görə bu ilk tam zəncirli mükafatdır və ilk avtonom təhlükəsizlik şirkəti üçündür.

Eksploit necə işləyir

Chrome veb kodu iki daxili sandboxda emal edir və zəncir hər ikisini keçdi. V8-də, Chrome-un JavaScript engine-ində, birinci zəiflik hücumçuya engine daxilində yaddaş nəzarəti verdi. İkinci, animasiyalı WebP şəkillərin dekoderində, bu nəzarətlə daxili sandboxdan çıxıb kompyuterin yaddaşına bir dəqiq yazı etdi. Üçüncü, Crashpad-da, Chrome-un çökmələri emal edənində, hansı ki, sandbox xaricində işləyir, bu bir yazı maşında kodun tam icrasına çevrildi.

İki zəifliyin ictimai ID-si var. CVE-2026-85045, V8 zəifliyi, Chrome 152.0.7977.82-də 3 sentyabrda düzəldildi. CVE-2026-78952, Crashpad zəifliyi, Chrome 152.0.7977.65-də 25 avqustda düzəldildi. WebP zəifliyi eyni Chrome 152 dövründə düzəldildi, lakin ictimai ID təsdiqlənmir: XBOW-un bəyanatında WebP üçün göstərilən ID V8 zəifliyinə aiddir ki, həm Google, həm də XBOW-un texniki təsviri bunu təsdiqləyir.

Altı gün və 40 000 dollar

XBOW mükafatlandırılan zənciri 2 avqustdan 7 avqustə qədər qurdu, Las-Vegasda Black Hat və DEF CON konfransları zamanı. Sprintə aylarlıq hazırlıq sərf oldu: çağırış iyulda, Maltada əmdaşlarla görüşdə qeyd olundu, ilk tam Chrome zəncirinə isə iki ay lazım oldu. Bir versiya isə birdən düşdü, çünki əsaslandığı zəiflik Google üçün artıq məlumat idi, lakin XBOW-un eksploitini bir-birini əvəz edən hissələr və ehtiyat variantlarla qurmuşdu.

Şirkətin jurnalına görə, altı günlük sprint AI xərclərində təxminən 40 000 dollar tutdu. AI agentləri Chrome kodunda axtarırdı, ideyaları yoxlayırdı, PoC-lər yaradırdı və ilk variantları yazırdı. Araşdırıcılar hədəflər seçirdi, kontekst verirdi, agentlərin nəticələrini yoxlayırdı və hansı hissələrin birləşdiriləcəyini qərarlaşdırırdı.

„LLM-lərə qədər Chrome-un tam zəncirini yaratmaq dörd nəfərli qrupa təxminən 6-9 ay lazım olardı, bizim ilk nümayişimiz 2 ay davam etdi. Mükafat? Altı gün", — dedi XBOW-un araşdırıcısı Brendan Dolan-Gavitt, ki, zənciri agentlərlə birlikdə qurdu. Təsisçi Ouge de Murre dedi: „Yalnız təxminən 40 000 dollar hesablanmış resurs və altı gün lazım oldu bir araşdırıcıya, əvvəllər aylar tələb edən zənciri yaratmaq üçün".

Yamaqlar və xəbərdarlıq

Chrome öz-özünə yenilənir, lakin düzəltmə yalnız brauzeri yenidən başlatdan sonra qüvvəyə minir. XBOW istifadəçilərə Chrome-u yenidən başlatmağı və versiyanın 152.0.7977.82 və ya daha yeni olduğuna əmin olmağı tövsiyə edir. Şirkətin sözlərinə görə, zəifliklər heç vaxt Chrome istifadəçilərinə qarşı tətbiq olunmayıb və düzəltmələrin çıxarılışına qədər təxminən 1 milyard insan, ki, Windows-da Chrome istifadə edirdi, bu növ hücum riski altında idi.

Google-un Chrome Vulnerability Reward Program tam zəncirli eksploit üçün 250 000 dollara qədər ödəyir, ki, bu bir bildiriş üçün ən yüksək mükafatdır, 2026-cı ildə yenilənmiş qaydalarla və ildə dörd mükafata qədər verir. Dolan-Gavittin müdafiəçilərə ünvanlanmış mesajı birbaşa idi: „Altı gün və 40 min dollar nə qədər böyük vaxt, nə də puldur, nəticə Chrome zənciridir!" O, barierin indi əhəmiyyətsizə endiyini qeyd edib iki sözlə bitirdi: „Müdafiəyə uyğun olun."

Mənbələr: The Hacker News