Le 13 octobre 2026, XBOW a rendu publique une chaîne de vulnérabilités de Chrome que ses chercheurs avaient élaborée avec l’aide de GPT-5.6 Sol. Lors d’une démonstration contrôlée dans Chrome Beta, une page web a lancé la Calculatrice de Windows, selon le compte rendu technique d’XBOW.

Ce que la démonstration de Chrome a réalisé

La chaîne associait trois failles pour passer de JavaScript dans un onglet à l’exécution de code côté hôte sous Windows. Elle reliait des vulnérabilités de V8, le moteur JavaScript de Chrome, de Blink, son moteur de rendu, et de Crashpad, son composant de traitement des plantages.

La première faille concernait Maglev, le compilateur de V8 : selon XBOW, elle permettait à JavaScript de lire et modifier des données dans la cage de compression des pointeurs du moteur. Une faille dans le décodage d’images WebP animées par Blink permettait ensuite une écriture native choisie en dehors de cette cage. Enfin, un défaut de Crashpad dans la gestion de la mémoire des processus Windows ouvrait la voie à l’exécution de code dans son gestionnaire de plantages, qui n’est pas isolé par le bac à sable de Chrome. XBOW décrit ces trois étapes dans son analyse technique.

GPT-5.6 Sol a aidé les chercheurs, qui ont piloté le travail

XBOW situe les travaux sur la chaîne récompensée du 2 au 7 août 2026. GPT-5.6 Sol et ses prédécesseurs ont aidé à parcourir le code source de Chrome, tester des hypothèses, produire des preuves de concept et développer les étapes de l’exploit. Les chercheurs ont choisi les cibles, fourni le contexte, évalué et réorienté les résultats, puis décidé quelles étapes réunir.

L’équipe avait d’abord abandonné une chaîne après que Google lui eut signalé qu’une de ses failles était déjà connue. XBOW explique que l’organisation modulaire du travail et les solutions de remplacement ont permis de reconstruire la chaîne. L’entreprise estime à environ 40 000 dollars les frais d’API liés à la version récompensée et affirme que Google lui a attribué une récompense de 250 000 dollars. Ces éléments figurent dans le récit publié par XBOW.

Les conseils d’XBOW aux utilisateurs de Chrome

XBOW affirme que Google a corrigé les trois failles de la chaîne et conseille d’installer les mises à jour de Chrome, puis de relancer le navigateur.