Le 13 octobre 2026, XBOW a annoncé que ses chercheurs et des agents d’IA avaient assemblé une chaîne de trois failles de Chrome, avec l’aide du modèle GPT-5.6 Sol d’OpenAI. Selon l’entreprise, une page web conçue à cet effet aurait pu conduire à l’exécution de code sur un ordinateur Windows, sans clic ni téléchargement. XBOW affirme que Google lui a versé 250 000 dollars pour cette découverte. L’annonce de XBOW
Six jours, après un premier travail de deux mois
Le sprint de la chaîne récompensée s’est déroulé du 2 au 7 août 2026, pendant Black Hat et DEF CON à Las Vegas. Il ne partait pas de zéro : XBOW situe le défi en janvier et indique qu’une première tentative de chaîne complète avait pris deux mois. Google avait signalé que cette première tentative incluait une faille qu’il connaissait déjà ; des composants de secours ont permis à l’équipe de la remplacer. XBOW décrit le calendrier et les étapes de ce travail.
XBOW estime à environ 40 000 dollars les frais de calcul et d’accès aux API pour le sprint de six jours. L’entreprise présente cette somme comme une estimation fondée sur ses journaux d’utilisation. Son compte rendu technique détaille aussi la construction de la chaîne récompensée.
Comment les trois composants s’enchaînaient
Selon le compte rendu technique de XBOW, la chaîne associait un défaut du compilateur V8, le moteur JavaScript de Chrome, à un problème dans le décodage des images WebP animées, puis à une faille de sécurité mémoire dans Crashpad, le gestionnaire de plantages de Chrome. L’enjeu était de franchir plusieurs frontières de sécurité : le premier défaut permettait un accès mémoire dans la « cage » de V8 ; le problème de décodage pouvait ensuite provoquer une écriture native hors de cette cage ; la faille de Crashpad permettait enfin, selon XBOW, d’aboutir à l’exécution de code hors du bac à sable du processus de rendu. XBOW expose cette séquence dans son analyse technique.
Cette explication décrit le scénario rapporté par XBOW. L’impact annoncé dépendait de la combinaison des trois défauts, et non d’une seule faille isolée.
Le rôle des agents et celui des chercheurs
Dans le récit de XBOW, les agents ont exploré le code source, testé des hypothèses, construit des preuves de concept et préparé des étapes de l’exploit. Les chercheurs ont choisi les cibles, fourni le contexte, examiné et réorienté les résultats, puis décidé quels éléments combiner. Le modèle GPT-5.6 Sol, accessible au public, a travaillé avec d’autres agents et des modèles antérieurs, selon l’entreprise. XBOW détaille cette répartition des tâches.
Les mises à jour de Chrome
XBOW indique que les trois failles ont été corrigées et qu’il faut relancer Chrome après la mise à jour pour que les correctifs prennent effet. De son côté, l’avis de Google du 3 septembre 2026 associe CVE-2026-85045 à une faille de haute gravité de type condition de concurrence dans V8 et cite Chrome 152.0.7977.82 et 152.0.7977.83. L’avis de mise à jour de Google porte sur cette vulnérabilité V8.
