El 13 de octubre de 2026, Forbes informó de que Brendan Dolan-Gavitt, ingeniero de Xbow, colaboró con OpenAI Sol —identificado por Forbes como GPT-5.6— en una cadena de tres vulnerabilidades de Chrome que aún no tenían parche. El trabajo tuvo lugar durante Black Hat, en Las Vegas, en agosto de 2026. Aproximadamente un mes después, Google confirmó un exploit de día cero y concedió la recompensa máxima de 250.000 dólares, según el reportaje.
La colaboración detrás de la cadena
Dolan-Gavitt pidió ayuda al modelo para idear formas de vulnerar Chrome y trabajó con él en la investigación. El caso, por tanto, fue una colaboración entre el ingeniero y GPT-5.6. La cadena reunía tres vulnerabilidades; la confirmación y la recompensa que Forbes atribuyó a Google correspondían a un exploit.
El premio y el gasto en tokens
Forbes cifró en 40.000 dólares estadounidenses el gasto en tokens. Esa cantidad equivale al 16 % de la recompensa máxima de 250.000 dólares; la diferencia aritmética es de 210.000 dólares antes de contar salarios, infraestructura, impuestos y otros gastos. No es una cifra de beneficio neto.
Jared Snyder, de Xbow, afirmó que Native Team obtuvo el primer Chrome Full Chain Exploit Bonus de 2026 y el segundo de la historia. En su publicación de LinkedIn, felicitó también a Nico Waisman, responsable del equipo de seguridad, y a Brendan Dolan-Gavitt.
Otros envíos y el modelo utilizado
Cuando Forbes publicó su artículo, el 13 de octubre de 2026, Xbow seguía esperando la revisión de Google para otros dos exploits generados con IA.
OpenAI había presentado el 10 de agosto de 2026 GPT-5.6-Cyber, un modelo especializado basado en GPT-5.6 Sol, junto con una investigación distinta sobre V8. Para el trabajo de Xbow en Chrome, Forbes identificó el modelo utilizado como OpenAI Sol/GPT-5.6.
