Команда компании по кибербезопасности XBOW объединила три ранее неизвестных уязвимости в Google Chrome в одну атаку, которая позволяет выполнять код на компьютере под управлением Windows при загрузке веб-страницы. Об этом сообщила компания. Исследователи XBOW создали эту атаку за шесть дней, используя ИИ-агентов на базе общедоступной модели GPT-5.6 Sol от OpenAI. Google подтвердила наличие всех трех уязвимостей, устранила их и выплатила XBOW максимальное вознаграждение в размере 250 000 долларов за полный эксплойт Chrome.
Атака представляет собой полную цепочку: набор уязвимостей, используемых совместно для преодоления всех уровней защиты Chrome, от веб-страницы до самого компьютера. Chrome выполняет код веб-страницы внутри двух вложенных “песочниц” — барьеров, которые не позволяют скомпрометированной странице получить доступ к остальной части системы. Цепочка обошла обе. В результате код выполнялся вне Chrome в операционной системе Windows без необходимости каких-либо действий со стороны пользователя, таких как клики или загрузка файлов.
Все три уязвимости теперь устранены, и XBOW утверждает, что они никогда не использовались против пользователей Chrome. Две уязвимости с общедоступными идентификаторами были исправлены в версиях Chrome 152.0.7977.65 от 25 августа и 152.0.7977.82 от 3 сентября. Chrome обновляется автоматически, но исправление вступает в силу только после перезапуска браузера. Поэтому рекомендуется перезапустить Chrome и убедиться, что версия браузера — 152.0.7977.82 или новее.
Шесть дней — это ключевой показатель, и его нужно рассматривать в контексте. XBOW создала отмеченную наградой цепочку между воскресеньем, 2 августа, и пятницей, 7 августа, во время конференций Black Hat и DEF CON в Лас-Вегасе. Этот спринт последовал за месяцами предыдущей работы: компания поставила задачу на январском совещании сотрудников на Мальте, и создание первой полной цепочки эксплойтов для Chrome заняло два месяца.
Одна из версий атакующей цепочки чуть не провалилась, когда одна из уязвимостей, на которую она опиралась, оказалась уже известна Google. XBOW создала эксплойт из сменных модулей с готовыми резервными копиями, поэтому компания заменила этот модуль, и цепочка осталась работоспособной. По собственным подсчетам компании, основанным на логах использования, шестидневная разработка обошлась примерно в 40 000 долларов США в виде расходов на ИИ.
XBOW также разграничила роль ИИ и человека. ИИ-агенты анализировали исходный код Chrome, тестировали гипотезы, создавали прототипы и писали первые версии эксплойта. Исследователи выбирали цели, предоставляли контекст, оспаривали результаты агентов и решали, какие компоненты объединить. Один из исследователей, Брендан Долан-Гэвитт, создал отмеченную наградой цепочку с помощью агентов. «До эпохи LLM создание полной цепочки эксплойтов для Chrome занимало бы у команды из четырех человек примерно 6-9 месяцев. Наша первая версия заняла 2 месяца. А эта? Шесть дней», — написал Долан-Гэвитт.
Три уязвимости находились в разных частях Chrome. В собственных примечаниях к выпуску Google отмечает заслуги Долан-Гэвитта из XBOW в обнаружении двух из них и указывает версии, в которых они были исправлены. Обе идентифицированные уязвимости имеют высокий уровень опасности и требуют от пользователя загрузки страницы. Уязвимость WebP была исправлена в том же цикле обновлений Chrome 152, но для нее не существует общедоступного идентификатора: идентификатор CVE-2026-85045, который XBOW указывает в своем анонсе для этапа WebP, на самом деле присвоен уязвимости V8 как Google, так и в техническом описании самой XBOW.
Программа Google по вознаграждению за уязвимости Chrome выплачивает до 250 000 долларов за полный эксплойт — максимальную сумму за один отчет — в соответствии с правилами, обновленными в 2026 году. Ежегодно присуждается не более четырех таких наград. XBOW называет это первой наградой за полный эксплойт Chrome по правилам 2026 года и первой, полученной автономной компанией по кибербезопасности. До выпуска исправлений уязвимости подвергали риску около 1 миллиарда пользователей Chrome под управлением Windows, по данным компании.
XBOW подчеркивает скорость разработки. «По оценкам, потребовалось всего 40 000 долларов США на вычислительные мощности и шесть дней для одного исследователя, чтобы создать цепочку, которая ранее заняла бы месяцы», — заявил основатель компании Оге де Мур в своем сообщении. Долан-Гэвитт ясно сформулировал предупреждение для специалистов по безопасности: «Шесть дней и 40 тысяч долларов — это не так много времени или денег, когда наградой является цепочка эксплойтов для Chrome!» Он добавил, что теперь планка значительно снизилась. «Защищайтесь соответственно».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
