Новый рекорд скорости: от полугода к шести дням
Компания Xbow объявила о получении гранта в размере $250,000 от программы Google Zero Bug Bounty. Эта выплата стала первой по новым правилам 2026 года. Исследователи обнаружили и разработали полный цепочечный эксплойт (full-chain exploit) для браузера Chrome, который затрагивает около миллиарда пользователей. Уязвимость позволяла удаленно захватить контроль над системой Windows просто путем посещения вредоносного сайта.
Ключевой аспект успеха — скорость. По словам ветерана спецслужб, ранее на поиск подобных уязвимостей командам требовалось до шести месяцев. Xbow справилась за 6 дней (с 2 по 7 августа 2026 года), используя публичную модель искусственного интеллекта GPT-5.6 Sol.
Синергия человека и ИИ: как это работало
Проект реализовали четыре исследователя безопасности Xbow (Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee, Willem Pinckaers) в партнерстве с ИИ-агентом. Роль GPT-5.6 Sol заключалась в автоматизации рутины: анализ исходного кода Chrome, генерация идей, создание прототипов (PoC) и написание черновиков эксплойта. Люди же брали на себя стратегическое планирование, проверку результатов ИИ и корректировку направления поиска.
Важным фактором стала архитектура решения. Эксплойт был разделен на три независимые части с альтернативными вариантами. Когда Google сообщил, что одна из уязвимостей уже известна, команда смогла быстро заменить «слабое звено» на резервное, не начиная работу с нуля.
Экономика кибербезопасности: $40,000 против $250,000
Стоимость вычислительных ресурсов, необходимых для создания эксплойта за шесть дней, составила всего $40,000. Это подчеркивает стремительное снижение барьера для создания сложных атак. При этом защита от таких угроз становится доступнее для оборонительной стороны: разработчики могут использовать те же инструменты для тестирования своего кода до публикации уязвимостей.
Технические детали и статус исправления
Уязвимости уже устранены в последних обновлениях Chrome. Google рекомендует пользователям перезапускать браузер после получения уведомлений об обновлении. Ниже приведена сводка по ключевым параметрам инцидента:
| Параметр | Значение / Описание |
|---|---|
| Размер гранта Google | $250,000 (первый по правилам 2026 г.) |
| Использованная ИИ-модель | OpenAI GPT-5.6 Sol (публичная версия) |
| Затраченное время | 6 дней (2–7 августа 2026) |
| Стоимость вычислений | $40,000 |
| Охват уязвимости | ~1 млрд пользователей Chrome (Windows) |
| Статус уязвимостей | Исправлены, требуют перезапуска браузера |
Что дальше?
Xbow прогнозирует, что в течение года аналогичные уязвимости смогут находить автономные ИИ-агенты без участия человека. Компания уже разрабатывает продукт для автономного тестирования скомпилированного ПО (десктопные приложения, серверы, IoT) и приглашает партнеров к сотрудничеству. Главный вывод для отрасли: оборонительная сторона теперь имеет преимущество — возможность тестировать собственный код с «навыками атакующих» по запросу.
Источник: Xbow ↗