XBOW veröffentlichte am 13. Oktober 2026 einen Bericht über eine Kette aus drei Chrome-Schwachstellen, die Forscher mit Unterstützung von KI-Agenten entwickelten. Der sechstägige Sprint für die ausgezeichnete Kette lief vom 2. bis 7. August. XBOW zufolge zeichnete Google das Unternehmen dafür mit 250.000 US-Dollar aus. XBOWs Ankündigung und technischer Bericht beschreiben, wie die Schwachstellen zusammenwirkten und welche Aufgaben Menschen und Agenten übernahmen.
Was in den sechs Tagen geschah
Der Sprint begann nicht bei null. XBOW zufolge hatte das Unternehmen bereits im Januar eine Chrome-Herausforderung angesetzt; ein erster Versuch für eine vollständige Kette dauerte zwei Monate. Google teilte XBOW mit, dass ihm eine Schwachstelle aus dieser ersten Kette bereits bekannt war. Das Team stellte daraufhin eine andere Kombination zusammen. Die ausgezeichnete Kette entstand anschließend in dem Sprint vom 2. bis 7. August.
Für diesen sechstägigen Lauf schätzte XBOW die Kosten für Rechenleistung und API-Nutzung auf rund 40.000 US-Dollar. Die Angabe beruht laut Unternehmen auf Nutzungsprotokollen.
Wie die drei Chrome-Komponenten zusammenwirkten
XBOWs technische Darstellung verbindet drei Stationen: V8, die JavaScript-Engine von Chrome, einen Decoder für animierte WebP-Bilder und Crashpad, Chrome’s Absturzverarbeitung. Ein Fehler im V8-Compiler ermöglichte demnach Speicherzugriffe innerhalb der abgeschotteten V8-Umgebung. Ein Fehler bei der WebP-Verarbeitung erlaubte anschließend einen nativen Schreibzugriff außerhalb dieser Umgebung. Eine Speicherlücke in Crashpad führte laut XBOW schließlich zur Codeausführung außerhalb des Renderer-Sandkastens – der Prozessisolation, die den für Webseiten zuständigen Teil des Browsers begrenzen soll.
XBOW zufolge hätte eine präparierte Webseite über diese Kette ohne Klick oder Download Code auf einem Windows-Rechner ausführen können.
