Sikkerhetsfirma utviklet fullstendig Chrome-angrep på seks dager ved hjelp av kunstig intelligens
17. oktober 2026 · 3 min lesing
Sikkerhetsfirmaet XBOW har konstruert et komplett angrep som utnytter tre tidligere ukjente feil i nettleseren Chrome, noe som gjør det mulig å kjøre skadelig kode på en Windows-maskin bare ved at brukeren laster inn en nettside. Angrepet ble bygget på seks dager av forskere som benyttet seg av autonome agenter drevet av OpenAIs offentlig tilgjengelige GPT-5.6 Sol-modell. Google har bekreftet alle tre feilene, utbedret dem og utbetalt en belønning på 250 000 USD til XBOW, som er den høyeste summen selskapet tilbyr for et fullstendig Chrome-utnyttelsesangrep.
Angrepet klassifiseres som en fullstendig kjede, hvilket betyr at det kombinerer flere feil for å bryte gjennom alle beskyttelseslagene i Chrome. Nettleseren kjører vanligvis kode fra nettsider innenfor to nestede sandkasser, som er barrierer designet for å hindre at en kompromittert side får tilgang til resten av maskinen. Denne angrepskjeden krysset begge sandkassene, noe som resulterte i at kode kunne kjøres utenfor Chrome på Windows-operativsystemet uten at brukeren trengte å klikke på noe eller laste ned filer manuelt.
Alle de tre feilene er nå rettet, og XBOW opplyser at de aldri ble brukt mot faktiske Chrome-brukere. To av feilene, som har offentlige identifikatorer, ble fikset i Chrome-versjon 152.0.7977.65 den 25. august og i versjon 152.0.7977.82 den 3. september. Selv om Chrome oppdateres automatisk, trer fiksen først i kraft etter at nettleseren har blitt startet på nytt, så anbefalingen er å starte Chrome på nytt og bekrefte at versjonen er 152.0.7977.82 eller nyere. Før fiksen ble distribuert, estimerte selskapet at feilene utsatte omtrent én milliard mennesker som kjører Chrome på Windows for denne typen angrep.
Tidsrammen på seks dager representerer selve byggefasen av den prisbelønte kjeden, som fant sted mellom søndag 2. august og fredag 7. august under sikkerhetskonferansene Black Hat og DEF CON i Las Vegas. Denne intensive perioden fulgte etter måneder med tidligere arbeid, ettersom selskapet først definerte utfordringen under et personalemøte i januar på Malta, og deres første fullstendige Chrome-kjede tok to måneder å fullføre. En versjon av den prisbelønte kjeden var nær ved å mislykkes da en feil den stolte på viste seg å være allerede kjent av Google. XBOW hadde imidlertid bygget utnyttelsen med utskiftbare deler og reserveløsninger klare, slik at de kunne bytte ut den defekte delen og opprettholde kjedens funksjonalitet.
Kostnaden for denne utviklingsprosessen var betydelig lavere enn tradisjonelle metoder. Ifølge selskapets egne logger over bruk kostet kjøringen på seks dager omtalt 40 000 USD i avgifter for kunstig intelligens-tjenester. XBOW trakk også en tydelig linje mellom hva de autonome agentene utførte og hva menneskene gjorde. Agentene søkte i Chrome-kildekoden, testet ideer, bygget konseptbevis og skrev første utkast av utnyttelsen. Forskerne valgte målene, leverte kontekst, utfordret agentenes resultater og bestemte hvilke deler som skulle settes sammen. En forsker ved navn Brendan Dolan-Gavitt bygde den prisbelønte kjeden sammen med agentene og bemerket at før store språkmodeller ville et slikt arbeid tatt et team på fire personer rundt seks til ni måneder, mens deres første innsendelse tok to måneder og den prisbelønte kun seks dager.
De tre feilene befant seg hver i sin del av Chrome. Googles egne utgivelsesnotater krediterer Dolan-Gavitt fra XBOW for to av feilene og lister opp versjonen som fikset hver enkelt. Begge de identifiserte feilene er vurdert til å ha høy alvorlighetsgrad og krever at brukeren laster inn en side. En feil relatert til WebP-formatet ble fikset i samme Chrome 152-syklus, men ingen offentlig identifikator kan bekreftes for denne spesifikt, da identifikatoren CVE-2026-85045 som XBOWs kunngjøring tilskriver WebP-stadiet, faktisk er identifikatoren som både Google og XBOWs egen tekniske gjennomgang tilordner til V8-feilen. Googles program for belønning av sårbarheter i Chrome betaler opptil 250 000 USD for et fullstendig kjedeangrep, som er det høyeste beløpet de tilbyr for en enkelt rapport, under regler som ble oppdatert i 2026. Programmet tildeler maksimalt fire slike belønninger i året. XBOW kaller dette den første fullstendige Chrome-kjede-belønningen under 2026-reglene og den første som tildeles et autonomt sikkerhetsselskap. Grunnlegger Oege de Moor uttalte at det kun tok omtalt 40 000 USD i beregningskraft og seks dager for en enkelt forsker å produsere en kjede som tidligere ville ha tatt måneder, og advarte forsvarere om at terskelen nå er mye lavere.