Google присудила $250 тыс. за эксплойт Chrome с ИИ-агентами

Подробно

Что именно продемонстрировала XBOW?

По данным отчёта в Chromium Issue Tracker, цепочка позволяла веб-странице, открытой в обычной вкладке Chrome на Windows, выполнить код за пределами песочницы браузера. Для демонстрации использовали штатную подписанную сборку Chrome Beta 152.0.7977.42. Чтобы запустился «Калькулятор» Windows, хватало открыть страницу: разрешения, небезопасные флаги, скачивание файлов и дополнительные клики не требовались. Стандартные механизмы защиты при этом оставались включены.

Эксплойт работал только с конкретной сборкой Chrome. Чтобы перенести его на другую версию, нужно было бы настраивать его заново.

19 августа инженер Chromium Уилл Харрис независимо воспроизвёл цепочку.

«Я проверил: эта полная цепочка запускает калькулятор», - написал он в трекере.

Какие уязвимости Chrome вошли в цепочку?

В цепочку вошли три уязвимости:

• CVE-2026-85045 (уровень High) - ошибка компилятора Maglev в движке V8. Исправлена в стабильном Chrome 152.0.7977.82/.83, вышедшем 3 сентября 2026 года.
• Ошибка декодера анимированных WebP (Chromium issue 548509153) - исправлена изменениями кода в цикле Chrome 152.
• CVE-2026-78952 (уровень High) - запись за границами буфера в Crashpad, обработчике сбоев, который работает вне песочницы. Исправлена в Chrome 152.0.7977.65 от 25 августа 2026 года.

Сначала вместо ошибки WebP в цепочке использовалась уязвимость в компоненте Gin. Её пришлось заменить: оказалось, что Google уже знала об этой ошибке. Обновлённую цепочку приложили к отчёту 18 августа. По данным XBOW, она сработала три раза из трёх на ноутбуке с Windows 11.

В пресс-релизе XBOW номер CVE-2026-85045 ошибочно указан для ошибки WebP. На это обратила внимание Свати Кхандельвал из The Hacker News. Технический разбор XBOW и записи Google относят этот CVE к V8. Публичный CVE для ошибки WebP подтвердить не удалось.

Какую роль в работе сыграл ИИ?

По данным XBOW, над цепочкой, за которую выплатили награду, Брендан Долан-Гэвитт (Distinguished Engineer and AI Researcher в XBOW) и агенты работали со 2 по 7 августа 2026 года. В это время в Лас-Вегасе проходили конференции Black Hat и DEF CON. Агенты работали на публично доступной через API модели OpenAI GPT-5.6 Sol и её предшественниках, а не на специализированной закрытой модели.

Работу разделили на параллельные направления. Агенты изучали исходный код Chrome, проверяли гипотезы и разрабатывали этапы цепочки. Люди выбирали цели и стратегию, проверяли результаты и решали, какие компоненты объединить. В более широком проекте также участвовали Андрес Луксенберг, Баул Ли и Виллем Пинкерс.

«До появления LLM на полную цепочку для Chrome команде из четырёх человек требовалось около 6-9 месяцев. Награждённая цепочка заняла шесть дней», - оценивает Долан-Гэвитт.

«Один исследователь XBOW с помощью наших моделей нашёл цепочку уязвимостей, которую Google уже исправила», - заявил руководитель направления киберисследований OpenAI Клинт Гиблер.

Сколько стоила разработка и откуда $250 тыс.?

XBOW оценила стоимость шестидневной кампании примерно в $40 000 за использование API. Сумму компания восстановила по архивным логам Codex. В неё не входят зарплата специалистов, создание агентной платформы и предыдущие исследования.

«На эту работу ушло около $40 000 на вычисления и шесть дней одного исследователя. Раньше такая цепочка заняла бы месяцы», - заявил основатель и CEO XBOW Оге де Мор.

Автор исследования сделал из этого вывод для защитников:

«Шесть дней и $40 тыс. - не так уж много времени и денег, если на кону цепочка для Chrome. Выстраивайте защиту с учётом этого», - написал Долан-Гэвитт.

Награда в $250 000 - это не стоимость разработки и не размер ущерба. Это выплата по правилам Chrome VRP за полную цепочку, начинающуюся с обычного веб-контента. Если для атаки требуется MojoJS, выплата составляет $200 000. Награду до $250 000 за такие цепочки Google установила 30 апреля 2026 года, когда обновила программы вознаграждений Android и Chrome «для эпохи ИИ». XBOW собирается направить деньги на бесплатную или льготную защиту некоммерческих организаций.

Насколько независимо проверены заявления XBOW?

Google подтвердила, что цепочка работает, а также подтвердила размер награды, номера CVE и исправления. Остальные цифры исходят от XBOW: шесть дней, $40 000, распределение работы между людьми и агентами, а также оценка, что угроза касалась около 1 млрд пользователей Chrome на Windows. Методику подсчёта охвата компания не опубликовала. XBOW заявляет, что уязвимости не использовались против пользователей. Сообщений об атаках с этой цепочкой в открытых источниках не найдено.

Исследовательская группа Cloud Security Alliance отмечает, что сравнивать первую цепочку (около двух месяцев) со второй (шесть дней) некорректно: в них использовались разные ошибки, а вторая попытка опиралась на уже накопленные инструменты. Яш Таккер из explainx.ai напоминает, что XBOW заинтересована в продвижении своего продукта. Саймон Юн из TokenPost предупреждает, что один успешный случай не доказывает такого же сокращения сроков в других исследованиях.

Материалы XBOW - это технический отчёт, а не рецензируемая статья. Подробнее о хронологии работы компания обещала рассказать на конференции Unprompted в конце октября.

Как защититься и доступна ли модель в России?

Обе уязвимости с публичными CVE закрыты в Chrome 152.0.7977.82 и более новых версиях. Обновление начинает защищать только после перезапуска браузера. Проверить версию можно в меню «Справка» → «О браузере Google Chrome».

GPT-5.6 Sol продаётся через OpenAI API: $4 за 1 млн входных токенов и $20 за 1 млн выходных при коротком контексте. Россия не входит в официальный список стран, где поддерживается OpenAI API.