XBOW uz AI agente pronašao potpuni Chrome lanac napada
Bezbednosna kompanija XBOW spojila je tri dotad nepoznate ranjivosti u Google Chromeu u potpuni lanac napada koji je na Windowsu mogao da izvrši kod izvan pregledača nakon samog učitavanja veb stranice. Istraživači su za šest dana koristili AI agente zasnovane na javno dostupnom modelu OpenAI GPT-5.6 Sol, uz približno 40.000 dolara troškova za AI, a Google je isplatio maksimalnu nagradu od 250.000 dolara.
Tri propusta, izlazak iz oba sandboksa
Potpuni lanac znači da se više grešaka koristi zajedno kako bi se prešli svi zaštitni slojevi pregledača. Chrome izvršava kod sa stranice unutar dva ugneždena sandboksa, a XBOW-ov lanac je prešao oba i doveo do izvršavanja koda van Chromea na Windowsu. Za korisnika nije bio potreban klik niti preuzimanje datoteke.
Prva faza bila je greška u V8, Chromeovom JavaScript pogonu, označena kao CVE-2026-85045. Ona je napadaču pružala kontrolu nad memorijom unutar pogona. Druga faza nalazila se u dekoderu animiranih WebP slika: iskorišćavala je tu kontrolu za izlazak iz unutrašnjeg sandboksa i precizan upis u memoriju računara.
Treća ranjivost bila je u Crashpadu, Chromeovom obrađivaču rušenja koji radi izvan sandboksa. Označena je kao CVE-2026-78952 i pretvarala je taj pojedinačni upis u potpuno izvršavanje koda na računaru. Google je obe identifikovane greške ocenio kao ranjivosti visoke ozbiljnosti.
Zakrpe su dostupne, ali je potrebno ponovno pokretanje
CVE-2026-78952 ispravljen je u verziji Chrome 152.0.7977.65, objavljenoj 25. avgusta, dok je CVE-2026-85045 ispravljen u verziji 152.0.7977.82 od 3. septembra. Greška u animiranom WebP dekoderu takođe je otklonjena tokom ciklusa Chrome 152, ali za nju nije potvrđen javni identifikator. XBOW navodi da propusti nisu korišćeni protiv korisnika Chromea.
Automatsko ažuriranje pregledača nije dovoljno dok se Chrome ponovo ne pokrene. Organizacije zato treba da provere da li su radne stanice zaista prešle na verziju 152.0.7977.82 ili noviju, naročito na Windows uređajima koji pristupaju sadržaju sa interneta.
AI je ubrzao istraživanje, ljudi su vodili odluke
XBOW navodi da su agenti pretraživali Chromeov izvorni kod, testirali hipoteze, izrađivali dokazne koncepte i pisali prve verzije eksploata. Istraživači su birali ciljeve, davali kontekst, proveravali rezultate i odlučivali koje će delove spojiti. Brendan Dolan-Gavitt je uz agente sastavio nagrađeni lanac.
Šestodnevni rezultat usledio je posle dužeg rada: kompanija je zadatak postavila na sastanku u januaru, a za njen prvi potpuni Chrome lanac bila su potrebna dva meseca. Modularna izrada pomogla je i kada se jedna komponenta oslonila na grešku za koju je Google već znao, jer je XBOW mogao da je zameni rezervnim delom.
Širi bezbednosni kontekst daje veliki broj Chrome ispravki jer pokazuje da veliki broj Chrome ispravki ne uklanja potrebu za brzom primenom ažuriranja. Za poslovanje je praktičan zaključak da upravljanje zakrpama mora uključiti proveru ponovnog pokretanja pregledača, praćenje verzija na krajnjim uređajima i procenu rizika od sve bržeg razvoja eksploata uz AI alate.