Forscher nutzen OpenAI Modell zur Erstellung eines Chrome Exploits für 250.000 USD
17. Oktober 2026 · 2 Min. Lesezeit
Ein Team der Sicherheitsfirma XBOW hat drei zuvor unbekannte Fehler in Google Chrome zu einem einzigen Angriff kombiniert, der Code auf einem Windows Computer ausführt, wenn ein Nutzer lediglich eine Webseite lädt.
Die Forscher entwickelten den Angriff innerhalb von sechs Tagen, indem sie KI Agenten steuerten, die auf dem öffentlich verfügbaren Modell GPT-5.6 Sol von OpenAI basierten. Google hat alle drei Fehler bestätigt und behoben sowie an XBOW die höchste Belohnung von 250.000 USD für einen vollständigen Chrome Exploit gezahlt.
Bei dem Angriff handelt es sich um eine vollständige Kette, bei der eine Reihe von Fehlern gemeinsam genutzt wird, um jede Schutzschicht von Chrome zu durchbrechen, von einer Webseite bis hin zum Computer. Die Kette überwand zwei ineinander verschachtelte Sandkästen, welche normalerweise verhindern, dass eine gehackte Seite den Rest der Maschine erreicht. Dies ermöglichte das Ausführen von Code außerhalb von Chrome auf Windows, ohne dass der Nutzer klicken oder etwas herunterladen musste.
Die drei Fehler befinden sich in unterschiedlichen Teilen von Chrome und wurden bereits behoben. XBOW gibt an, dass sie nie gegen Chrome Nutzer eingesetzt wurden. Zwei der Fehler wurden in den Versionen 152.0.7977.65 am 25. August und 152.0.7977.82 am 3. September korrigiert. Die Fehlerbehebung wird erst nach einem Neustart des Browsers wirksam.
Die Entwicklung der prämierten Kette erfolgte zwischen dem 2. und 7. August. Dieser Prozess folgte auf monatelange Vorarbeit, da die erste vollständige Chrome Kette des Unternehmens zwei Monate in Anspruch nahm. Laut den Nutzungsprotokollen von XBOW beliefen sich die KI Kosten für den sechs Tage dauernden Durchlauf auf etwa 40.000 USD.
Die Aufgaben waren zwischen Mensch und Maschine aufgeteilt. Die KI Agenten durchsuchten den Quellcode von Chrome, testeten Ideen, erstellten Konzeptnachweise und schrieben die ersten Entwürfe des Exploits. Die Forscher wählten die Ziele aus, lieferten den Kontext, hinterfragten die Ergebnisse der Agenten und entschieden, welche Teile zusammengefügt wurden.
Das Programm für Belohnungen bei Chrome Schwachstellen von Google zahlt bis zu 250.000 USD für einen vollständigen Ketten Exploit, was die höchste Summe für einen einzelnen Bericht ist. XBOW bezeichnet dies als die erste Belohnung für eine vollständige Chrome Kette unter den Regeln von 2026 und die erste an ein autonomes Sicherheitsunternehmen.