Un AI a ajutat cercetătorii să „spargă” Chrome în șase zile. Vulnerabilitatea putea afecta un miliard de utilizatori, Google a plătit 250.000 de dolari

Un grup de cercetători în securitate a demonstrat cât de repede poate inteligența artificială să schimbe regulile jocului în domeniul vulnerabilităților software. Echipa startupului Xbow a folosit GPT-5.6 Sol de la OpenAI pentru a construi, în numai șase zile, un exploit complet pentru Google Chrome, după cum relatează The Register. Atacul combina trei vulnerabilități necunoscute anterior și putea ajunge de la o simplă pagină web până la executarea de cod în afara sistemelor de protecție ale browserului, pe calculatoare cu Windows.

Xbow estimează că aproximativ un miliard de utilizatori Chrome pe Windows s-ar fi aflat în aria potențială de impact înainte ca problemele să fie reparate. Asta nu înseamnă că un miliard de dispozitive au fost compromise. Vulnerabilitățile au fost raportate responsabil către Google, compania le-a remediat, iar Xbow precizează că nu există indicii că exploitul ar fi fost folosit împotriva utilizatorilor reali. Google a acordat echipei o recompensă de 250.000 de dolari, cea mai mare categorie de recompensă pentru un exploit Chrome de tip „full chain”.

Trei vulnerabilități au deschis drumul din browser până în Windows

Un browser precum Chrome este proiectat în mai multe straturi de securitate tocmai pentru ca compromiterea unei pagini sau a unui proces să nu însemne automat compromiterea întregului calculator. Cercetătorii Xbow au reușit însă să lege trei vulnerabilități astfel încât fiecare să depășească următoarea barieră. Este un scenariu asemănător, ca principiu, cu alte atacuri în lanț despre care Playtech a scris, inclusiv cazul BlueMoon, care combina trei vulnerabilități zero-day în Chrome și Windows.

Prima problemă se afla în Maglev, compilatorul de optimizare din motorul JavaScript V8. Bugul permitea obținerea accesului de citire și scriere în zona de memorie protejată de sandbox-ul V8. A doua vulnerabilitate implica decodarea imaginilor animate WebP și putea fi folosită pentru a ieși din această zonă izolată. Ultimul pas exploata Crashpad, componenta Chrome responsabilă de gestionarea crash-urilor, pentru a trece de sandbox-ul procesului și a executa cod în afara browserului.

Demonstrația cercetătorilor a ajuns până la lansarea aplicației Calculator din Windows de către o pagină web, un test folosit frecvent pentru a demonstra executarea de cod pe sistem. Într-un atac real, însă, același acces ar fi putut fi utilizat pentru instalarea de malware sau spyware, furtul de fișiere și parole ori pentru obținerea unei poziții din care atacatorul să continue compromiterea sistemului.

GPT-5.6 Sol a costat aproximativ 40.000 de dolari în șase zile

Poate cea mai interesantă parte a experimentului nu este numai vulnerabilitatea, ci viteza cu care a fost construit exploitul. Xbow spune că utilizarea modelelor AI pe parcursul celor șase zile a generat costuri de aproximativ 40.000 de dolari. În schimb, Google a plătit 250.000 de dolari pentru raportarea lanțului complet de vulnerabilități.

AI-ul nu a lucrat însă singur. Agenții bazați pe GPT-5.6 Sol au căutat prin codul sursă Chrome, au verificat ipoteze, au construit proof-of-concept-uri și primele versiuni ale diferitelor etape ale exploitului. Cercetătorii umani au ales însă țintele, au furnizat context, au verificat concluziile AI și au decis ce vulnerabilități merită combinate. Brendan Dolan-Gavitt de la Xbow subliniază chiar că echipa a folosit „destul de multă expertiză și judecată umană”, ceea ce face incorectă concluzia că un model AI ar putea reproduce automat întregul atac fără intervenție specializată.

Cazul se înscrie într-o tendință din ce în ce mai vizibilă în securitatea cibernetică. Playtech a scris recent despre modul în care AI-ul începe să identifice și să exploateze vulnerabilități informatice tot mai rapid. Astfel de modele pot accelera atât munca cercetătorilor care raportează responsabil problemele, cât și activitatea atacatorilor care caută breșe înaintea producătorilor de software.

Google a reparat problemele. Actualizarea Chrome trebuie totuși instalată complet

Cele trei vulnerabilități utilizate de Xbow au fost remediate de Google. Fixurile au ajuns în ramura Chrome 152, iar sursele tehnice indică versiunea 152.0.7977.82 drept un prag sigur pentru lanțul prezentat de cercetători. Între timp, browserul a avansat mult: pe 13 octombrie 2026, Google a lansat Chrome 155.0.8059.79/.80 pentru Windows și Mac și 155.0.8059.79 pentru Linux, împreună cu alte 37 de corecții de securitate.

Chrome descarcă în mod normal actualizările automat, însă instalarea lor devine efectivă după repornirea browserului. Dacă folosești Chrome, verifică versiunea din meniul Settings – About Chrome și repornește aplicația dacă există o actualizare în așteptare. Mai multe măsuri utile pentru reducerea riscurilor sunt explicate și în ghidul Playtech despre securizarea browserului pe Windows, inclusiv extensii, parole și autofill.

Cazul Xbow arată mai ales cât de mult s-a micșorat timpul necesar pentru găsirea și combinarea unor vulnerabilități complexe. Fondatorul companiei, Oege de Moor, spune că un fost specialist al unei agenții de informații i-a povestit că astfel de operațiuni puteau necesita în trecut aproximativ șase luni. Echipa Xbow a ajuns la un rezultat comparabil în șase zile. Diferența nu demonstrează că securitatea Chrome a devenit brusc slabă, ci că instrumentele folosite pentru găsirea vulnerabilităților au devenit mult mai rapide.