XBOW تكشف عن سلسلة استغلال لثغرات Chrome بمساعدة نماذج OpenAI
شركة الأمن السيبراني XBOW طورت سلسلة استغلال لثلاث ثغرات في Chrome باستخدام نماذج OpenAI، وحصلت على مكافأة 250 ألف دولار من Google.
أعلنت شركة الأمن السيبراني XBOW في 13 أكتوبر 2026 أنها طورت سلسلة استغلال لثلاث ثغرات في متصفح Chrome باستخدام نماذج OpenAI متاحة للعموم، حسبما أفاد موقع dailysecu.com. ودفعت Google مكافأة قدرها 250 ألف دولار مقابل البحث، وفقاً لما ذكرته الشركة.
السلسلة ربطت ثغرة في محرك JavaScript المعروف باسم V8، وثغرة في معالجة صور WebP المتحركة، وثغرة في أداة الإبلاغ عن الأعطال Crashpad. وأوضحت XBOW أن السلسلة تمنح مهاجماً قدرة تنفيذ شيفرة عن بُعد خارج صندوق العزل Sandbox في Chrome على نظام Windows. وفي عرض توضيحي علني، أدى فتح صفحة ويب في إصدار Chrome Beta الموقّع إلى تشغيل الآلة الحاسبة في Windows.
ظهرت الثغرتان في نشرات Google الأمنية الرسمية تحت الرمزين CVE-2026-85045، وهي حالة تسابق في V8، وCVE-2026-78952، وهي كتابة خارج حدود الذاكرة في Crashpad، وكلتاهما مصنفتان بدرجة خطورة عالية. ونُسب الفضل إلى الباحث في XBOW Brendan Dolan-Gavitt بوصفه مكتشف الثغرتين. وتم إصلاحهما في Chrome 152.0.7977.82 الصادر في 3 سبتمبر، وفي Chrome 152.0.7977.65 الصادر في 25 أغسطس.
تعتمد Chrome على عزل الذاكرة داخل محرك JavaScript وعلى عزل على مستوى نظام التشغيل لعمليات معالجة صفحات الويب لمنع انتشار هجوم من موضع واحد إلى بقية المتصفح، وفق ما أشارت إليه الشركة.
استغرقت فترة التطوير المركزة للسلسلة ستة أيام، من 2 إلى 7 أغسطس، حسب XBOW. واستخدمت الشركة وكلاء ذكاء اصطناعي مبنيين على نموذج OpenAI GPT-5.6 Sol، وزّعوا المهام بين استكشاف الشيفرة المصدرية والتحقق من فرضيات الهجوم وتطوير إثبات المفهوم ومكونات الاستغلال. وتولى العنصر البشري تحديد ما يجب استكشافه وتوفير السياق اللازم والتحقق من النتائج وربط المكونات. وقالت XBOW إنها تبحث في سلاسل استغلال Chrome منذ أوائل العام، وإن إنشاء السلسلة الأولى استغرق نحو شهرين، وإن رسوم استخدام واجهات الذكاء الاصطناعي خلال الأيام الستة بلغت نحو 40 ألف دولار.
أسئلة سريعة
ما الثغرات التي ربطتها سلسلة استغلال XBOW في Chrome؟
ربطت السلسلة ثغرة تسابق في محرك V8، وثغرة كتابة خارج حدود الذاكرة في أداة Crashpad، وثغرة في معالجة صور WebP المتحركة، وفق ما ذكرته XBOW.
كم بلغت مكافأة Google مقابل هذا البحث؟
دفعت Google مكافأة قدرها 250 ألف دولار، وتم إصلاح جميع الثغرات المرتبطة بالبحث.
في أي إصدارات Chrome تم إصلاح الثغرات؟
تم الإصلاح في Chrome 152.0.7977.82 الصادر في 3 سبتمبر 2026، وفي Chrome 152.0.7977.65 الصادر في 25 أغسطس 2026.