Google выплатила XBOW $250 тысяч за найденные с помощью ИИ уязвимости Chrome

Исследователи XBOW с помощью GPT-5.6 Sol создали цепочку атак, позволяющую обойти защиту Chrome на Windows. Разработка финального варианта заняла шесть дней, расходы на вычисления составили около $40 тысяч. Google уже выпустила исправления.

Компания XBOW, или так называемые "белые хакеры", специализирующаяся на кибербезопасности, получила от Google вознаграждение в $250 тысяч за обнаружение связанных уязвимостей в Chrome. Как сообщает The Hacker News, исследователи использовали ИИ-агентов на базе общедоступной модели GPT-5.6 Sol от OpenAI. По оценке XBOW, потенциально проблема могла затронуть около миллиарда пользователей браузера на Windows.

Исследователям удалось объединить три ошибки в единую цепочку, позволяющую выйти за пределы защитной среды браузера и выполнять код на компьютере. Такая возможность создавала риск доступа к личной переписке, паролям и другим конфиденциальным сведениям. Google устранила обнаруженные уязвимости и выплатила вознаграждение в рамках программы поиска ошибок безопасности.

По сообщению XBOW, финальную цепочку один исследователь разработал совместно с ИИ-агентами за шесть дней. При этом результат опирался на более широкий проект команды из четырёх специалистов. Поэтому указанный срок характеризует работу над награждённым вариантом, а не весь исследовательский процесс.

Компания подчёркивает, что использовала модель общего назначения. Искусственный интеллект анализировал исходный код Chrome, проверял гипотезы и готовил первые версии демонстрационных атак. Люди определяли направление поиска, оценивали результаты и корректировали работу агентов.

Первоначальный вариант пришлось пересмотреть: Google сообщила, что одна из задействованных ошибок ей уже известна. Исследователи смогли заменить соответствующий элемент, поскольку заранее подготовили альтернативные компоненты цепочки.

Расходы на использование модели за шесть дней XBOW оценила примерно в $40 тысяч. Эта сумма отражает стоимость вычислений, а не полный бюджет проекта с учётом труда специалистов и предварительных исследований. История показывает, как ИИ может ускорять поиск сложных уязвимостей при участии опытной команды безопасности.