شركة XBOW تبني سلسلة استغلال كاملة لـ Chrome في ستة أيام بكلفة 40 ألف دولار باستخدام موديل من OpenAI

أفصحت شركة الأمن XBOW في 13 أكتوبر 2026 عن سلسلة استغلال كاملة لمتصفح Chrome، بنتها بين 2 و7 أغسطس، أي في ستة أيام، بتكلفة حوسبة بلغت نحو 40 ألف دولار من فواتير API. ودفعت Google للشركة مكافأة قدرها 250 ألف دولار.

وتتكون السلسلة من ثلاث ثغرات متصلة. الأولى في Maglev، وهو أحد مترجمات JavaScript داخل محرك V8. والثانية في الكود الذي يفك صور WebP المتحركة. والثالثة في Crashpad، المكون المسؤول عن تقارير الأعطال. وكانت النتيجة تنفيذ كود على جهاز يعمل بنظام Windows بمجرد تحميل صفحة ويب، دون أن يضغط المستخدم على شيء.

وكانت الثغرات الثلاث مجهولة لدى Google وقت بناء السلسلة، وقد أُصلحت كلها، ولم يستغلها أحد ضد مستخدمين حقيقيين.

واستخدمت XBOW الموديل GPT-5.6 Sol، الذي بحث في كود Chrome وجرّب أفكارًا وكتب المسودة الأولى للاستغلال. لكن البشر هم من اختاروا الهدف وقدّموا السياق وراجعوا المخرجات، فالعمل لم يكن عمل الموديل وحده.

والرقم الأهم في القصة ليس المكافأة بل الكلفة. فالبحث عن ثغرات كان يحتاج وقتًا طويلًا من خبراء نادرين، وكانت المنتجات الصغيرة تحتمي ضمنيًا بأن أحدًا لن يخصص ذلك الوقت لفحص كودها. وحين تصبح الكلفة أيامًا وفاتورة API، تتغير هذه المعادلة لكل منتج، لا لـ Chrome وحده، سواء كان من يبحث باحثًا يطلب مكافأة أو مهاجمًا.

ويصبح السؤال لفرق المنتجات في المنطقة متى خضع كودها آخر مرة لفحص من خارجها، لأن من يفحصه قد لا يحتاج اليوم إلى أكثر من حساب API.