חוקרים השתמשו במודל של OpenAI כדי לבנות ניצול פרצות ב-Chrome בשווי 250,000 דולר תוך שישה ימים
17 באוקטובר 2026 · קריאה של 2 דק׳
צוות מחקר בחברת האבטחה XBOW בנה התקפה המנצלת שלוש פרצות לא ידועות עד אז בדפדפן Google Chrome, המאפשרת הרצת קוד על מחשב Windows כאשר המשתמש טוען דף אינטרנט בלבד.
החוקרים פיתחו את ההתקפה בתוך שישה ימים באמצעות הנחיית סוכני בינה מלאכותית שהריצו את מודל GPT-5.6 Sol הזמין לציבור של OpenAI. Google אישרה את שלוש הפרצות, תיקנה אותן ושילמה ל-XBOW את הפרס המקסימלי שלה בסך 250,000 דולר עבור ניצול מלא של Chrome.
ההתקפה הוגדרה כשרשרת מלאה, שכן היא השתמשה בקבוצת פרצות כדי לפרוץ את כל שכבות ההגנה של Chrome, כולל שתי ארגזי חול מקננים שנועדו למנוע מדף פרוץ להגיע לשאר המכונה. התוצאה הייתה הרצת קוד מחוץ לדפדפן על מערכת Windows, ללא צורך של המשתמש ללחוץ על דבר או להוריד קבצים.
על פי נתוני החברה, לפני התיקונים, כמיליארד אנשים המשתמשים ב-Chrome על Windows היו חשופים לסיכון מסוג זה. XBOW מסרה כי הפרצות מעולם לא שימשו נגד משתמשי Chrome. שתי מהפרצות תוקנו בגרסאות 152.0.7977.65 ב-25 באוגוסט ו-152.0.7977.82 ב-3 בספטמבר. התיקון נכנס לתוקף רק לאחר הפעלה מחדש של הדפדפן.
התהליך נמשך בין יום ראשון, 2 באוגוסט, ליום שישי, 7 באוגוסט. עבודה זו הגיעה לאחר חודשים של הכנה, כאשר האתגר הוגדר בינואר ובניית השרשרת הראשונה ארכה חודשיים. עלות חישוב הבינה המלאכותית עבור הריצה של שישה ימים נאמדה בכ-40,000 דולר.
חלוקת התפקידים הייתה ברורה: סוכני הבינה המלאכותית חיפשו בקוד המקור של Chrome, בחנו רעיונות, בנו הוכחות היתכנות וכתבו טיוטות ראשונות של הניצול. החוקרים בחרו את המטרות, סיפקו הקשר, ערערו על תוצאות הסוכנים והחליטו אילו חלקים לחבר.
תוכנית התגמול של Google עבור פרצות ב-Chrome משלמת עד 250,000 דולר עבור ניצול שרשרת מלאה, וזהו הסכום הגבוה ביותר שהיא מציעה עבור דיווח בודד תחת כללים שעודכנו בשנת 2026. XBOW טוענת כי זהו הפרס הראשון לשרשרת מלאה תחת הכללים הללו והראשון שניתן לחברת אבטחה אוטונומית.