Исследователи XBOW использовали ИИ, чтобы взломать Google Chrome за шесть дней — с 2 по 7 августа 2026 года, объединив три уязвимости для запуска кода в Windows за пределами песочницы браузера. Исследование, опубликованное 13 октября 2026 года, принесло им вознаграждение от Google в размере 250 000 долларов. К тому времени Google уже устранил эти уязвимости.

Главные выводы

• В своей демонстрации XBOW объединила уязвимости в трёх компонентах Chrome.

• Команда потратила около 40 000 долларов на вызовы API моделей ИИ.

• Chrome 153 и более поздние версии защищены от раскрытых уязвимостей.

Как сообщает ilSoftware.it, демонстрация завершилась запуском «Калькулятора» Windows — наглядным подтверждением того, что эксплойт преодолел защиту Chrome. Эта выплата в рамках программы вознаграждений Chrome за найденные уязвимости стала первым случаем, когда такую сумму присудили за полную цепочку компрометации с момента вступления правил в силу в апреле 2026 года.

Как XBOW взломала Google Chrome с помощью ИИ за шесть дней

XBOW использовала агентов на базе модели OpenAI gpt-5.6-sol для анализа исходного кода, поиска потенциальных уязвимостей, проверки гипотез и разработки отдельных компонентов эксплойта. Исследователи-люди выбирали цели, интерпретировали результаты и решали, как объединить методы.

Агенты решали ограниченные задачи, связанные с движком JavaScript, изоляцией памяти и выходом из процесса, в котором работают веб-страницы. За время исследования команда потратила около 40 000 долларов на вызовы API.

По оценке XBOW, без продвинутых языковых моделей четырём специалистам потребовалось бы от шести до девяти месяцев, чтобы создать цепочку эксплойтов сопоставимой сложности.

В отчёте ускорение описывается как возможность параллельно изучать технические гипотезы, проверять альтернативы и быстро отказываться от неудачных подходов. ИИ помогал в работе, а связанную атаку выстроили исследователи-люди.

Три компонента Chrome составили цепочку эксплойта

Эксплойт объединил уязвимости в движке JavaScript Chrome, декодере анимированных изображений WebP и Crashpad — компоненте, собирающем сведения о сбоях. На каждом этапе удавалось обойти отдельную защиту, прежде чем демонстрация добралась до Windows.

Уязвимости в JavaScript и WebP открыли доступ к памяти

Первая уязвимость затрагивала Maglev — оптимизирующий компилятор в движке JavaScript V8. Некорректная обработка некоторых числовых объектов позволила исследователям обойти проверки границ массива и читать или изменять память внутри песочницы V8.

Отдельная уязвимость в декодере WebP позволяла создавать несоответствие размеров изображения, вызывавшее переполнение буфера в куче. Получив доступ к нативной памяти, исследователи смогли манипулировать ссылками на код WebAssembly и выполнять инструкции в процессе рендерера, который оставался внутри песочницы Chrome.

Последним этапом стал выход из песочницы через Crashpad

На заключительном этапе эксплуатировалось предположение Crashpad о том, что процесс приостановлен. XBOW оставила один поток работающим и меняла права доступа к страницам памяти во время чтения, что привело к ещё одной записи за пределами буфера — на этот раз в процессе Crashpad, вне песочницы.

Манипулируя внутренними структурами компонента и используя уже имеющиеся в Chrome функции, исследователи вызвали API Windows CreateProcessW(), чтобы открыть «Калькулятор» Windows. Это продемонстрировало выполнение кода за пределами песочницы браузера.

Общая слабость, лежавшая в основе трёх разных уязвимостей

Все три уязвимости основывались на предположениях об условиях, которые могли измениться. Компилятор JavaScript считал изменяемый числовой объект неизменяемым; декодер WebP предполагал, что данные, переданные из JavaScript, останутся неизменными.

Crashpad также исходил из того, что приостановленный процесс не может менять страницы своей памяти. В отчёте общей проблемой названо доверие к условию без проверки того, остаётся ли оно истинным, а не просто отсутствие проверок.

Для демонстрации потребовалась связанная цепочка ошибок, а не одна изолированная уязвимость. ИИ ускорил создание этой цепочки для взлома Google Chrome до шести дней.

Исправления Google и защита в Chrome 153

Google выпустила исправления для эксплуатируемых уязвимостей в период с августа по сентябрь 2026 года. Пользователи Chrome 153 и новее защищены от эксплуатации именно этих уязвимостей.

Публикация исследования от 13 октября 2026 года последовала за выпуском этих исправлений и сообщила о вознаграждении в 250 000 долларов за полную цепочку компрометации.

Статья подготовлена с помощью искусственного интеллекта и проверена редакцией.