Inteligenţa artificială a creat în doar şase zile un exploit pentru Chrome, cu potenţialul de a afecta un miliard de utilizatori

Un experiment realizat de cercetătorii în securitate cibernetică de la startupul Xbow demonstrează cât de mult poate accelera inteligenţa artificială descoperirea şi exploatarea vulnerabilităţilor software. Cu ajutorul modelului GPT-5.6 Sol de la OpenAI, echipa a construit în numai şase zile un exploit complex pentru Google Chrome, combinând trei vulnerabilităţi necunoscute anterior. Atacul putea porni de la simpla accesare a unei pagini web şi ajunge până la executarea de cod în afara mecanismelor de protecţie ale browserului, pe calculatoare cu Windows, potrivit publicaţiei The Register.

Xbow estimează că aproximativ un miliard de utilizatori Chrome pe Windows s-ar fi putut afla în zona de risc înainte ca vulnerabilităţile să fie remediate. Cifra nu înseamnă însă că un miliard de dispozitive au fost compromise. Problemele au fost raportate responsabil către Google şi ulterior reparate, iar cercetătorii spun că nu există dovezi că exploitul ar fi fost folosit împotriva utilizatorilor reali.

Importanţa descoperirii este confirmată şi de recompensa acordată de Google: 250.000 de dolari, suma aferentă celei mai înalte categorii de recompensă pentru un exploit Chrome de tip „full chain”, care valorifică mai multe vulnerabilităţi pentru a compromite succesiv mecanismele de securitate.

Trei vulnerabilităţi au permis trecerea de la Chrome la sistemul Windows
Browserele moderne, inclusiv Chrome, folosesc mai multe niveluri de protecţie pentru a împiedica o pagină web compromisă să obţină automat acces la întregul calculator. Cercetătorii Xbow au reuşit să combine trei vulnerabilităţi distincte, fiecare contribuind la depăşirea unei noi bariere de securitate.

Prima vulnerabilitate a fost identificată în Maglev, compilatorul de optimizare al motorului JavaScript V8. Aceasta permitea obţinerea unor capacităţi de citire şi scriere în memoria protejată de sandbox-ul V8.

A doua problemă era asociată procesării imaginilor animate în format WebP şi putea fi exploatată pentru a ieşi din mediul izolat. Ultima vulnerabilitate viza Crashpad, componenta Chrome responsabilă de gestionarea blocărilor şi a rapoartelor de eroare. Exploatarea acesteia permitea depăşirea sandbox-ului procesului şi executarea de cod în afara browserului.

Pentru a demonstra că atacul funcţionează, cercetătorii au folosit o pagină web care determina lansarea aplicaţiei Calculator din Windows. Deşi demonstraţia are un rezultat inofensiv, acelaşi tip de acces ar putea fi utilizat într-un atac real pentru instalarea de programe malware sau spyware, furtul de fişiere şi parole ori compromiterea suplimentară a sistemului.

Un asemenea atac în lanţ este periculos tocmai pentru că nu se bazează pe o singură breşă, ci pe combinarea mai multor vulnerabilităţi, astfel încât limitările de securitate ale browserului să fie depăşite succesiv.

GPT-5.6 Sol a ajutat la construirea exploitului în şase zile, cu un cost de 40.000 de dolari
Unul dintre cele mai relevante aspecte ale experimentului este viteza de dezvoltare. Potrivit Xbow, utilizarea modelelor de inteligenţă artificială pe parcursul celor şase zile a generat costuri de aproximativ 40.000 de dolari. În urma raportării vulnerabilităţilor, Google a acordat echipei o recompensă de 250.000 de dolari.

Totuşi, rezultatul nu a fost obţinut exclusiv de inteligenţa artificială, fără intervenţie umană. Agenţii bazaţi pe GPT-5.6 Sol au analizat codul sursă al Chrome, au verificat ipoteze, au construit demonstraţii tehnice de tip proof-of-concept şi au contribuit la dezvoltarea etapelor succesive ale exploitului.

Cercetătorii umani au avut însă un rol esenţial în alegerea ţintelor, furnizarea contextului tehnic, verificarea rezultatelor şi identificarea vulnerabilităţilor care puteau fi combinate într-un atac funcţional.

Brendan Dolan-Gavitt, de la Xbow, a subliniat că echipa a folosit „destul de multă expertiză şi judecată umană”. Prin urmare, experimentul nu demonstrează că un model AI poate reproduce automat, de unul singur, un atac atât de complex. Demonstrează însă că inteligenţa artificială poate reduce semnificativ timpul necesar unor specialişti pentru a ajunge la un asemenea rezultat.

Descoperirea se înscrie într-o tendinţă tot mai vizibilă în securitatea cibernetică: modelele AI pot accelera atât identificarea vulnerabilităţilor de către cercetătorii care le raportează responsabil, cât şi activitatea atacatorilor care încearcă să exploateze breşele înainte ca producătorii să le remedieze.

Google a remediat vulnerabilităţile. Ce trebuie să faci pentru a rămâne protejat
Cele trei vulnerabilităţi folosite în demonstraţia Xbow au fost remediate de Google. Potrivit informaţiilor tehnice prezentate în legătură cu acest caz, corecţiile au fost incluse în ramura Chrome 152, iar versiunea 152.0.7977.82 a fost indicată drept un prag sigur pentru lanţul de vulnerabilităţi descris de cercetători.

Între timp, browserul a primit versiuni mai noi. Pe 13 octombrie 2026, Google a lansat Chrome 155.0.8059.79/.80 pentru Windows şi macOS, respectiv versiunea 155.0.8059.79 pentru Linux, actualizare care a inclus şi alte 37 de corecţii de securitate.

Chrome descarcă de regulă actualizările automat, însă acestea sunt aplicate complet după repornirea browserului. Pentru a verifica dacă foloseşti o versiune actualizată, urmează aceşti paşi:

1. Deschide Google Chrome.
2. Accesează meniul browserului şi intră în Settings – About Chrome.
3. Aşteaptă verificarea actualizărilor şi instalarea eventualelor versiuni disponibile.
4. Apasă butonul de repornire, dacă acesta apare, pentru a finaliza actualizarea.

Menţinerea browserului la zi este una dintre cele mai importante măsuri de protecţie împotriva vulnerabilităţilor cunoscute. În plus, este recomandat să limitezi instalarea extensiilor la cele de încredere şi să fii atent la paginile web suspecte. În cazul unui exploit de tipul celui prezentat de Xbow, simpla vizitare a unei pagini special construite ar fi putut declanşa atacul, ceea ce face actualizările de securitate cu atât mai importante.

De la şase luni la şase zile: cum schimbă AI cercetarea vulnerabilităţilor
Experimentul Xbow ilustrează cât de mult s-ar putea schimba ritmul cercetării în domeniul securităţii informatice. Fondatorul companiei, Oege de Moor, a relatat că un fost specialist al unei agenţii de informaţii i-a spus că operaţiuni comparabile puteau necesita, în trecut, aproximativ şase luni. În cazul prezentat, echipa a ajuns la un rezultat funcţional în numai şase zile.

Comparaţia nu înseamnă că toate vulnerabilităţile pot fi descoperite sau exploatate de o sută de ori mai repede cu ajutorul inteligenţei artificiale. Complexitatea diferă de la un sistem la altul, iar rezultatul depinde de experienţa cercetătorilor, accesul la cod şi capacităţile instrumentelor utilizate.

Mesajul principal este însă clar: inteligenţa artificială reduce timpul şi efortul necesare pentru identificarea şi combinarea unor vulnerabilităţi complexe. Acest lucru poate ajuta dezvoltatorii să descopere şi să remedieze mai repede problemele de securitate, dar le poate oferi şi atacatorilor instrumente mai eficiente.

În cazul Chrome, vulnerabilităţile au fost raportate şi remediate înainte de a exista indicii privind exploatarea lor împotriva utilizatorilor reali. Pe termen lung, provocarea pentru industria software va fi să folosească aceeaşi accelerare oferită de AI pentru a identifica şi închide breşele înainte ca acestea să fie transformate în arme digitale.