پژوهشگران با استفاده از یک مدل عمومی OpenAI در شش روز یک اکسپلویت کامل زنجیره‌ای ۲۵۰ هزار دلاری برای کروم ساختند
تیمی از شرکت امنیتی XBOW اعلام کرده است که سه آسیب‌پذیری ناشناخته در گوگل کروم را به یک حمله زنجیره‌ای تبدیل کرده که می‌تواند تنها با بارگذاری یک صفحه وب، کد را روی یک رایانه ویندوزی اجرا کند.
پژوهشگران این شرکت این حمله را در شش روز و با هدایت عامل‌های هوش مصنوعی اجراشده روی مدل عمومی GPT-5.6 Sol از OpenAI ساختند. گوگل بعداً هر سه آسیب‌پذیری را تأیید و برطرف کرد و برای یک اکسپلویت کامل کروم، بالاترین جایزه خود یعنی ۲۵۰ هزار دلار را به XBOW پرداخت.
این حمله یک زنجیره کامل است؛ یعنی مجموعه‌ای از آسیب‌پذیری‌ها که در کنار هم برای عبور از تمام لایه‌های حفاظتی کروم، از یک صفحه وب تا خود رایانه، استفاده می‌شوند.
کروم کد صفحات وب را درون دو لایه سندباکس تو در تو اجرا می‌کند؛ این لایه‌ها مانع دسترسی یک صفحه هک‌شده به بخش‌های دیگر دستگاه می‌شوند. این زنجیره توانست از هر دو عبور کند و در نهایت بدون نیاز به کلیک کاربر یا دانلود فایل، کدی را خارج از کروم و روی ویندوز اجرا کند.
هر سه آسیب‌پذیری اکنون اصلاح شده‌اند و XBOW می‌گوید هیچ‌گاه علیه کاربران کروم مورد استفاده قرار نگرفته‌اند. دو آسیب‌پذیری دارای شناسه عمومی در نسخه‌های 152.0.7977.65 و 152.0.7977.82 کروم به‌ترتیب در ۲۵ اوت و ۳ سپتامبر برطرف شدند.
کروم به‌صورت خودکار به‌روزرسانی می‌شود، اما اصلاحات تنها پس از راه‌اندازی دوباره مرورگر فعال می‌شوند. بنابراین کاربران باید کروم را دوباره باز کنند و مطمئن شوند نسخه مرورگر آن‌ها 152.0.7977.82 یا جدیدتر است.
عدد شش روز بخش برجسته این ماجراست، اما باید در چارچوب درست دیده شود. XBOW این زنجیره برنده جایزه را بین یکشنبه ۲ اوت تا جمعه ۷ اوت و در جریان کنفرانس‌های Black Hat و DEF CON در لاس‌وگاس ساخت. این تلاش فشرده پس از ماه‌ها کار قبلی انجام شد: شرکت در یک جلسه کارکنان در ژانویه در مالت این چالش را مطرح کرده بود و نخستین زنجیره کامل کروم خود را در دو ماه تکمیل کرده بود.
یکی از نسخه‌های این زنجیره نزدیک بود شکست بخورد، زیرا مشخص شد یکی از آسیب‌پذیری‌های مورد استفاده، پیش‌تر توسط گوگل شناسایی شده بود. XBOW اکسپلویت را به بخش‌های قابل تعویض طراحی کرده بود و نسخه‌های جایگزین آماده داشت؛ بنابراین آن بخش را جایگزین کرد و زنجیره همچنان کار کرد. طبق گزارش استفاده داخلی شرکت، اجرای شش‌روزه این فرایند حدود ۴۰ هزار دلار هزینه پردازشی هوش مصنوعی داشته است.
XBOW همچنین میان نقش هوش مصنوعی و نقش انسان‌ها تفاوت قائل شد. عامل‌های هوش مصنوعی کد منبع کروم را جست‌وجو کردند، ایده‌ها را آزمایش کردند، نمونه‌های اثبات مفهوم ساختند و پیش‌نویس‌های اولیه اکسپلویت را نوشتند. اما پژوهشگران اهداف را انتخاب کردند، زمینه لازم را در اختیار عامل‌ها گذاشتند، نتایج آن‌ها را بررسی و به چالش کشیدند و تصمیم گرفتند کدام بخش‌ها را با هم ترکیب کنند.
برندن دولان-گویت، یکی از پژوهشگرانی که این زنجیره برنده جایزه را با کمک عامل‌ها ساخت، نوشت: «پیش از مدل‌های زبانی بزرگ، ساخت یک زنجیره کامل کروم توسط تیمی چهار نفره حدود ۶ تا ۹ ماه زمان می‌برد. نخستین ارسال ما دو ماه طول کشید. اما نمونه برنده؟ شش روز.»
هر سه آسیب‌پذیری در بخش متفاوتی از کروم قرار داشتند. یادداشت‌های انتشار گوگل، دولان-گویت از XBOW را برای دو مورد از آن‌ها به‌عنوان گزارش‌دهنده معرفی کرده و نسخه‌ای را که هر آسیب‌پذیری در آن اصلاح شده، مشخص کرده‌اند.
| مرحله | محل | CVE | رفع‌شده در |
|---|---|---|---|
| ۱ | V8، موتور جاوااسکریپت کروم | CVE-2026-85045 | 152.0.7977.82 (۳ سپتامبر) |
| ۲ | رمزگشای تصاویر Animated-WebP | شناسه عمومی ثبت نشده | چرخه کروم ۱۵۲ |
| ۳ | Crashpad، مدیریت‌کننده خطای کروم | CVE-2026-78952 | 152.0.7977.65 (۲۵ اوت) |
- آسیب‌پذیری نخست به مهاجم امکان کنترل حافظه در موتور جاوااسکریپت کروم را می‌داد.
- آسیب‌پذیری دوم در کدی قرار داشت که تصاویر متحرک WebP را می‌خواند و با استفاده از این کنترل، از سندباکس داخلی موتور عبور می‌کرد و یک نوشتن دقیق در حافظه رایانه انجام می‌داد.
- آسیب‌پذیری سوم در Crashpad، مدیریت‌کننده خطای کروم که خارج از سندباکس اجرا می‌شود، همان نوشتن حافظه را به اجرای کامل کد روی دستگاه تبدیل می‌کرد.
هر دو آسیب‌پذیری دارای شناسه عمومی با شدت بالا ارزیابی شده‌اند و برای فعال شدن به بارگذاری یک صفحه توسط کاربر نیاز دارند. آسیب‌پذیری WebP در همان چرخه کروم ۱۵۲ اصلاح شد، اما هنوز نمی‌توان یک شناسه عمومی برای آن تأیید کرد؛ شناسه CVE-2026-85045 که در اطلاعیه XBOW برای مرحله WebP ذکر شده، در گزارش فنی گوگل و خود XBOW به آسیب‌پذیری V8 مربوط دانسته شده است.
برنامه پاداش آسیب‌پذیری کروم گوگل برای یک اکسپلویت کامل زنجیره‌ای تا ۲۵۰ هزار دلار پرداخت می‌کند؛ این بیشترین مبلغی است که برای یک گزارش واحد ارائه می‌دهد. طبق قوانین به‌روزشده در سال ۲۰۲۶، حداکثر چهار مورد از این نوع در سال جایزه دریافت می‌کنند. XBOW می‌گوید این نخستین جایزه زنجیره کامل کروم تحت قوانین ۲۰۲۶ و نخستین مورد اعطا شده به یک شرکت امنیتی خودکار است.
به گفته این شرکت، پیش از انتشار اصلاحیه‌ها، این آسیب‌پذیری‌ها حدود یک میلیارد کاربر کروم روی ویندوز را در معرض چنین حمله‌ای قرار می‌دادند.
اوگه دِ مور، بنیان‌گذار XBOW، در اعلامیه شرکت گفت: «برای یک پژوهشگر تنها، ساخت زنجیره‌ای که پیش‌تر ماه‌ها زمان می‌برد، اکنون با حدود ۴۰ هزار دلار هزینه پردازشی و شش روز زمان ممکن شده است.»
دولان-گویت نیز هشدار خود را برای مدافعان امنیتی به‌طور روشن بیان کرد: «شش روز و ۴۰ هزار دلار زمان یا هزینه زیادی نیست، وقتی پاداش یک زنجیره کروم در میان باشد.» او نوشت که اکنون مانع ورود پایین‌تر آمده است و «باید متناسب با آن دفاع کرد.»