XBOW obtient 250 000 dollars de Google pour une chaîne d'exploit Chrome
La société de sécurité XBOW a construit une chaîne d'exploit Chrome en enchaînant trois vulnérabilités à l'aide de modèles OpenAI, selon dailysecu.com.
La société de sécurité XBOW a annoncé le 13 octobre 2026 avoir mis au point une chaîne d'exploit visant Chrome, en enchaînant trois vulnérabilités à l'aide de modèles OpenAI accessibles publiquement. Google a versé une prime de 250 000 dollars pour ces recherches, et l'ensemble des vulnérabilités concernées ont été corrigées, rapporte dailysecu.com.
L'attaque enchaîne une faille du moteur JavaScript V8, une faille de traitement des images animées WebP et une faille de l'outil de signalement de plantages Crashpad. L'ensemble forme une chaîne complète permettant d'obtenir une exécution de code à distance hors du bac à sable de Chrome sous Windows.
Lors d'une démonstration publique, l'ouverture d'une page web dans une version signée de Chrome Beta a permis de lancer la calculatrice de Windows.
Les vulnérabilités figurent dans les avis de sécurité officiels de Google sous les références CVE-2026-85045, une condition de concurrence dans V8, et CVE-2026-78952, une écriture mémoire hors limites dans Crashpad. Toutes deux sont classées de gravité élevée, et Brendan Dolan-Gavitt, chercheur chez XBOW, est crédité comme découvreur.
Les correctifs ont été livrés dans Chrome 152.0.7977.65 le 25 août 2026 et dans Chrome 152.0.7977.82 le 3 septembre 2026.
Un travail mené avec des agents IA
XBOW indique avoir utilisé des agents IA fondés sur le modèle GPT-5.6 Sol d'OpenAI, répartissant l'exploration du code source, la validation des hypothèses d'attaque, le développement des preuves de concept et celui des composants de l'exploit. Les humains décidaient des pistes à explorer, fournissaient le contexte nécessaire, vérifiaient les résultats et assemblaient les composants. La société précise que la période de développement ciblée de cette chaîne a duré six jours, du 2 au 7 août, pour des frais d'usage des API d'IA d'environ 40 000 dollars sur cette période. XBOW dit travailler sur les chaînes d'attaque Chrome depuis le début de l'année et avoir consacré environ deux mois à sa première chaîne.
En bref
Combien Google a-t-il versé à XBOW pour cette chaîne d'exploit Chrome ?
Google a versé une prime de 250 000 dollars pour ces recherches.
Quelles vulnérabilités ont été enchaînées dans l'attaque ?
Une faille du moteur JavaScript V8, une faille de traitement des images animées WebP et une faille de l'outil de signalement de plantages Crashpad, référencées CVE-2026-85045 et CVE-2026-78952 et classées de gravité élevée.
Les vulnérabilités ont-elles été corrigées ?
Oui. Les correctifs sont arrivés dans Chrome 152.0.7977.65 le 25 août 2026 et dans Chrome 152.0.7977.82 le 3 septembre 2026.