XBOW-მ OpenAI-ის საჯარო GPT-5.6 Sol მოდელით Chrome-ის ექსპლოიტი ექვს დღეში ააგო

უსაფრთხოების კომპანია XBOW-მა თქვა, რომ ერთმა მკვლევარმა OpenAI-ის საჯარო GPT-5.6 Sol მოდელზე მომუშავე AI აგენტებით Google Chrome-ის სრული ჯაჭვის ექსპლოიტი ექვს დღეში ააგო. თავდასხმა აერთებს მაშინ უცნობ სამ ხარვეზს, რომ მხოლოდ ვებგვერდის ჩატვირთვისას Windows-ის კომპიუტერზე კოდი გაუშვას, დაწკაპუნების ან ჩამოტვირთვის გარეშე.

Google-მა სამივე ხარვეზი დაადასტურა, გამოასწორა და XBOW-ს სრული Chrome-ის ექსპლოიტისთვის მაქსიმალური 250 000 დოლარის ჯილდო გადაუხადა. 2026 წლის წესებით ეს პირველი სრული ჯაჭვის ჯილდოა და პირველი ავტონომიური უსაფრთხოების კომპანიისთვის.

როგორ მუშაობს ექსპლოიტი

Chrome ვებკოდს ორ ჩადგმულ სენდბოქსში ამუშავებს და ჯაჭვმა ორივე გადალახა. V8-ში, Chrome-ის JavaScript-ის ძრავაში, პირველმა ხარვეზმა თავდამსხმელს ძრავის შიგნით მეხსიერების კონტროლი მისცა. მეორემ, ანიმაციური WebP სურათების დეკოდერში, ამ კონტროლით შიდა სენდბოქსი დატოვა და კომპიუტერის მეხსიერებაში ერთი ზუსტი ჩაწერა გააკეთა. მესამემ, Crashpad-ში, Chrome-ის ქრეშების დამმუშავებელში, რომელიც სენდბოქსის გარეთ მუშაობს, ეს ერთი ჩაწერა მანქანაზე კოდის სრულ შესრულებად აქცია.

ორ ხარვეზს საჯარო ID აქვს. CVE-2026-85045, V8-ის ხარვეზი, გამოსწორდა Chrome 152.0.7977.82-ში 3 სექტემბერს. CVE-2026-78952, Crashpad-ის ხარვეზი, გამოსწორდა Chrome 152.0.7977.65-ში 25 აგვისტოს. WebP-ის ხარვეზი იმავე Chrome 152-ის ციკლში გამოსწორდა, მაგრამ საჯარო ID ვერ დასტურდება: XBOW-ის განცხადებაში WebP-ისთვის მითითებული ID V8-ის ხარვეზს ეკუთვნის, რასაც Google-იც და XBOW-ის ტექნიკური აღწერაც ადასტურებს.

ექვსი დღე და 40 000 დოლარი

XBOW-მა ჯილდომიღებული ჯაჭვი 2 აგვისტოდან 7 აგვისტომდე ააგო, ლას-ვეგასში Black Hat-ისა და DEF CON-ის კონფერენციების დროს. სპრინტს თვეების მზადება უძღოდა: გამოწვევა იანვარში, მალტაში თანამშრომლების შეხვედრაზე დაისახა, პირველ სრულ Chrome-ის ჯაჭვს კი ორი თვე დასჭირდა. ერთი ვერსია კინაღამ ჩავარდა, რადგან ხარვეზი, რომელსაც ეყრდნობოდა, Google-ისთვის უკვე ცნობილი იყო, მაგრამ XBOW-ს ექსპლოიტი ურთიერთშემცვლელ ნაწილებად და სარეზერვო ვარიანტებით ჰქონდა აწყობილი.

კომპანიის ლოგების მიხედვით, ექვსდღიანმა სპრინტმა AI-ის ხარჯებში დაახლოებით 40 000 დოლარი დაჯდა. AI აგენტები ეძებდნენ Chrome-ის კოდში, ამოწმებდნენ იდეებს, ქმნიდნენ PoC-ებს და წერდნენ პირველ ვარიანტებს. მკვლევარები ირჩევდნენ სამიზნეებს, აძლევდნენ კონტექსტს, ამოწმებდნენ აგენტების შედეგებს და წყვეტდნენ, რომელი ნაწილები გაერთიანებინათ.

„LLM-ებამდე Chrome-ის სრული ჯაჭვის შექმნას ოთხკაციან გუნდს დაახლოებით 6-9 თვე სჭირდებოდა, ჩვენი პირველი წარდგენა 2 თვე გაგრძელდა. ჯილდოს მიღებული? ექვსი დღე“, თქვა XBOW-ის მკვლევარმა ბრენდან დოლან-გავიტმა, რომელმაც ჯაჭვი აგენტებთან ერთად ააგო. დამფუძნებელმა ოუგე დე მურმა თქვა: „მხოლოდ დაახლოებით 40 000 დოლარის გამოთვლითი რესურსი და ექვსი დღე დასჭირდა ერთ მკვლევარს იმ ჯაჭვის შესაქმნელად, რასაც ადრე თვეები სჭირდებოდა“.

პატჩები და გაფრთხილება

Chrome თავისით ახლდება, მაგრამ გამოსწორება მხოლოდ ბრაუზერის გადატვირთვის შემდეგ ამოქმედდება. XBOW ურჩევს მომხმარებლებს, ხელახლა გაუშვან Chrome და დარწმუნდნენ, რომ ვერსია 152.0.7977.82 ან უფრო ახალია. კომპანიის თქმით, ხარვეზები Chrome-ის მომხმარებლების წინააღმდეგ არასოდეს გამოუყენებიათ და გამოსწორებების გამოშვებამდე დაახლოებით 1 მილიარდი ადამიანი, რომელიც Windows-ზე Chrome-ს იყენებდა, ამ ტიპის თავდასხმის რისკის ქვეშ იმყოფებოდა.

Google-ის Chrome Vulnerability Reward Program სრული ჯაჭვის ექსპლოიტისთვის 250 000 დოლარამდე იხდის, რაც ერთი შეტყობინებისთვის უმაღლესი ჯილდოა, 2026 წელს განახლებული წესებით, და წელიწადში მაქსიმუმ ოთხ ჯილდოს გასცემს. დოლან-გავიტის გზავნილი დამცველებისთვის პირდაპირი იყო: „ექვსი დღე და 40 ათასი დოლარი არც ისეთი დიდი დრო ან ფულია, როცა შედეგი Chrome-ის ჯაჭვია!“ მან დასძინა, რომ ბარიერი ახლა გაცილებით დაბალია და ორი სიტყვით დაასრულა: „დაიცავით შესაბამისად.“

წყაროები: The Hacker News