ШІ допоміг зламати Google Chrome за 6 днів: XBOW отримала $250 000 за три вразливості

Компанія XBOW використала ШІ-агентів на базі GPT-5.6 Sol, щоб разом із дослідниками кібербезпеки створити експлойт для Google Chrome на Windows. Робота над фінальним ланцюжком із трьох вразливостей тривала шість днів. За результатами відповідального повідомлення про помилки Google виплатила компанії $250 000. Історія важлива не лише розміром винагороди: вона демонструє, як ШІ може прискорювати складні дослідження безпеки браузерів.

Key Takeaways

• 13 жовтня 2026 року XBOW оприлюднила результати дослідження безпеки Google Chrome.
• Фінальний експлойт створили 2–7 серпня за участю дослідників та ШІ-агентів на базі GPT-5.6 Sol.
• Ланцюжок із трьох вразливостей дозволяв вийти за межі захисних механізмів Chrome і виконати код у Windows.
• Google виплатила $250 000 у межах Chrome Vulnerability Reward Program.
• За оцінкою XBOW, використання ШІ-моделей під час шестиденної роботи коштувало близько $40 000.
• Google виправила вразливості ще до публікації дослідження; підтверджень атак на користувачів із використанням цього ланцюжка немає.

Що саме знайшла XBOW у Google Chrome

XBOW — компанія, яка розробляє технології автоматизованого тестування кібербезпеки. Її дослідники створили так званий full-chain exploit — ланцюжок, у якому кілька окремих помилок програмного забезпечення використовуються послідовно для досягнення результату, недоступного через одну вразливість.

У цьому випадку йшлося про Chrome на Windows. Дослідницька демонстрація показала можливість перейти від обробки спеціально підготовленої вебсторінки до виконання коду поза захисним середовищем браузера.

Chrome використовує ізоляцію процесів і sandbox — механізми, які обмежують можливості вебсторінки взаємодіяти з операційною системою. Навіть якщо зловмиснику вдається використати помилку в одному компоненті браузера, ці захисні бар’єри мають стримувати подальшу атаку.

Команда XBOW продемонструвала, що поєднання трьох різних помилок дозволяє подолати кілька рівнів захисту. Саме тому Google оцінює повний ланцюжок експлойтів окремо від звичайного повідомлення про одну вразливість.

Які компоненти браузера виявилися вразливими

У дослідженні фігурують три компоненти Chrome, які виконують різні завдання.

• V8. Рушій JavaScript, який виконує код вебсторінок. Помилка в ньому стала одним з елементів початкового проникнення.
• Обробка анімованих WebP. Компонент декодування зображень, вразливість якого використовувалася для переходу через один із захисних бар’єрів.
• Crashpad. Система обробки аварійних завершень і звітів про збої, помилка в якій допомогла завершити вихід за межі ізоляції браузера.

Google публічно пов’язала з дослідником XBOW Бренданом Доланом-Гевіттом щонайменше дві вразливості з цього дослідження. Серед них — CVE-2026-85045, помилка стану гонитви у V8, виправлена у вересні 2026 року, та CVE-2026-78952, пов’язана з Crashpad.

Важливо розрізняти окремі помилки та їхню комбінацію. Уразливість V8 сама по собі не означала автоматичного повного контролю над комп’ютером: вирішальним стало поєднання кількох етапів атаки.

Як GPT-5.6 Sol допомагала дослідникам

За описом XBOW, команда використовувала ШІ-агентів на базі загальнодоступної моделі GPT-5.6 Sol та попередніх моделей OpenAI. Агенти аналізували вихідний код Chrome, перевіряли гіпотези, готували тестові приклади та початкові версії експлойтів.

Люди відповідали за вибір напрямів дослідження, перевірку результатів, зміну стратегії та поєднання окремих знахідок у робочий ланцюжок.

Це принципова відмінність від твердження, що ШІ самостійно зламав Chrome. У дослідженні брали участь досвідчені спеціалісти, а модель була інструментом, який прискорював частину їхньої роботи.

Команда також підготувала альтернативні варіанти для окремих етапів атаки. Це виявилося важливим, коли з’ясувалося, що Google уже знала про одну з помилок попереднього ланцюжка. Дослідники змогли замінити відповідний компонент і продовжити роботу над новою комбінацією.

Шість днів замість місяців: наскільки коректне порівняння

XBOW повідомляє, що фінальний експлойт створили за шість днів — із 2 до 7 серпня 2026 року, під час проведення конференцій Black Hat і DEF CON у Лас-Вегасі.

Дослідник Брендан Долан-Гевітт порівнював цей результат із роботою команд до поширення великих мовних моделей: за його оцінкою, створення подібного повного ланцюжка могло займати в чотирьох фахівців від шести до дев’яти місяців.

Проте це експертне порівняння, а не результат контрольованого експерименту. XBOW уже мала попередній досвід роботи над Chrome, зокрема над іншим ланцюжком, який створювали приблизно два місяці.

Тому не можна стверджувати, що ШІ гарантовано скорочує будь-яке подібне дослідження з дев’яти місяців до шести днів. Результат залежить від складності помилок, досвіду команди, доступних інструментів і попередньої підготовки.

Скільки коштувала робота ШІ та за що заплатила Google

За оцінкою XBOW, обчислювальні витрати на використання ШІ під час шестиденної роботи становили близько $40 000. Компанія отримала від Google $250 000 за підтверджений повний ланцюжок вразливостей.

Якщо порівняти лише ці дві суми, винагорода перевищує витрати на ШІ в 6,25 раза. Але такий розрахунок не відображає реальну прибутковість проєкту.

У $40 000 не враховані зарплати дослідників, попередні експерименти, розробка інструментів та інші операційні витрати. Тому різницю між $250 000 і $40 000 некоректно називати чистим прибутком.

Виплата здійснювалася в межах Chrome Vulnerability Reward Program — програми Google, яка винагороджує дослідників за відповідальне повідомлення про проблеми безпеки. Така модель дозволяє компанії отримувати інформацію про небезпечні помилки до того, як вони стануть відомими широкому колу зловмисників.

Коли Google виправила вразливості Chrome

Хоча XBOW розповіла про результати 13 жовтня 2026 року, самі помилки були виявлені та передані Google раніше.

25 серпня Google випустила Chrome 152, до якого увійшли численні виправлення безпеки. 3 вересня компанія опублікувала наступне оновлення Chrome 152.0.7977.82/.83, де окремо зазначила CVE-2026-85045 у рушії V8 та вказала дослідника XBOW серед авторів повідомлення.

За заявою XBOW, усі три вразливості з фінального ланцюжка були виправлені до публічного розкриття дослідження.

Водночас у вересневому бюлетені Google згадувала реальні атаки на іншу вразливість V8 — CVE-2026-85046. Її не слід плутати з CVE-2026-85045, пов’язаною з дослідженням XBOW.

Немає підтверджень, що саме ланцюжок XBOW використовувався для атак на користувачів Chrome.

Що потрібно зробити користувачам Chrome

Головна рекомендація — переконатися, що браузер оновлений. Для цього потрібно відкрити меню Chrome, перейти до розділу «Довідка» → «Про Google Chrome», дочекатися перевірки оновлень і перезапустити браузер.

Виправлення вразливості не завжди починає діяти відразу після завантаження нової версії. Якщо Chrome просить перезапуститися, цей крок не варто відкладати.

Для компаній, які централізовано керують браузерами працівників, важливо перевіряти не лише факт встановлення оновлення, а й фактичний перезапуск Chrome на робочих пристроях.

Що історія XBOW змінює для кібербезпеки

Найважливіший наслідок цього дослідження — можливе скорочення часу між пошуком помилки та створенням працездатного експлойта.

Традиційно складний аналіз великих кодових баз вимагав значної кількості ручної роботи. ШІ-агенти можуть паралельно досліджувати різні гіпотези, автоматизувати повторювані перевірки та швидше готувати тестові приклади.

Це потенційно допомагає і захисникам, і зловмисникам. Команди безпеки можуть використовувати такі інструменти для пошуку помилок до випуску продукту. Але аналогічне прискорення досліджень підвищує вимоги до швидкості встановлення виправлень.

Поки що один успішний експеримент не доводить, що автономні ШІ-системи можуть систематично знаходити повні ланцюжки експлойтів без допомоги людей. У випадку XBOW людська експертиза залишалася критичною.

Чому це важливо для digital-бізнесу

Для медіабаєрів, SEO-команд, агентств і власників онлайн-бізнесу браузер — один з основних робочих інструментів. Через нього відкривають рекламні кабінети, аналітику, CRM, платіжні сервіси та корпоративні документи.

Уразливість, яка дозволяє виконувати код поза браузерною ізоляцією, потенційно створює ризики для всієї робочої системи, а не лише для однієї вкладки.

Тому своєчасне оновлення браузерів, розмежування доступів і захист облікових записів мають бути частиною операційної безпеки компанії.

Водночас ШІ дедалі активніше використовується не лише для створення контенту або реклами, а й для складних технічних завдань. UAGEEK раніше розглядав ризики поширення ШІ для арбітражу трафіку та пояснював, чому результати ШІ потрібно перевіряти, навіть коли вони виглядають переконливо.

Висновок

Дослідження XBOW показало, що загальнодоступна ШІ-модель у поєднанні з досвідченими фахівцями може суттєво прискорити створення складного експлойта для одного з найзахищеніших масових браузерів.

Але це не історія про повністю автономний ШІ, який сам зламав мільярд комп’ютерів. Команда розробила дослідницький експлойт, повідомила Google про вразливості, отримала винагороду, а Google випустила виправлення.

Найважливіше питання для індустрії тепер не в тому, скільки коштував експеримент, а в тому, чи зможуть розробники програмного забезпечення знаходити та усувати помилки швидше, ніж їх виявлятимуть автоматизовані системи.

Найсвіжіші новини вже тут! Підписуйтесь на ҐікNews.

Джерела для перевірки

Джерела для перевірки

XBOW — Rewarded for Exploit Affecting a Billion Users. Офіційне повідомлення від 13 жовтня 2026 року: $250 000 винагороди, шість днів роботи, GPT-5.6 Sol і три вразливості Chrome.
Повідомлення XBOW про винагороду Google

XBOW — Built a Chrome Full-Chain Exploit Affecting a Billion Users in Six Days. Детальний опис роботи дослідників, ролі ШІ, попередніх спроб та оцінки обчислювальних витрат.
Технічний розбір дослідження XBOW

Google Chrome Releases — 25 August 2026. Офіційне повідомлення про випуск Chrome 152 та виправлення проблем безпеки.
Оновлення Chrome від 25 серпня

Google Chrome Releases — 3 September 2026. Підтвердження виправлення CVE-2026-85045, авторства дослідника XBOW та окремого повідомлення про CVE-2026-85046.
Бюлетень безпеки Chrome від 3 вересня

Cloud Security Alliance — XBOW’s AI-Built Chrome Full-Chain Exploit. Незалежний аналіз дослідження, обмежень порівняння строків та структури витрат.
Аналіз Cloud Security Alliance