XBOW maakte op 13 oktober 2026 bekend dat zijn onderzoekers met hulp van OpenAI’s GPT-5.6 Sol een keten van drie kwetsbaarheden in Chrome hadden ontwikkeld. In een gecontroleerde demonstratie startte een webpagina in de ondertekende Chrome Beta de Windows-rekenmachine, aldus XBOW Labs. De proef liet zien hoe de gekoppelde fouten code-uitvoering op Windows mogelijk maakten.

Hoe de drie stappen samenwerkten

Volgens XBOW Labs begon de keten met een fout in Maglev, de compiler van JavaScript-engine V8. Die gaf JavaScript lees- en schrijfrechten binnen de zogenoemde pointer-compression cage van V8: een afgebakend geheugengebied.

Een tweede fout zat in Blink, de engine die webpagina’s weergeeft, en betrof het decoderen van geanimeerde WebP-afbeeldingen. Die stap maakte een gerichte schrijfactie in native geheugen buiten de V8-cage mogelijk. De derde fout betrof Crashpad, dat op Windows crashmeldingen afhandelt. Volgens XBOW kon de keten daardoor code uitvoeren in de Crashpad-handler, die buiten de sandbox van Chrome draait. Zo verbond de demonstratie fouten in drie onderdelen tot één route van een webpagina naar code-uitvoering op het hostsysteem.

XBOW Labs beschrijft de drie onderdelen en de demonstratie; XBOW meldde dat Google de drie bugs had verholpen.

Onderzoekers stuurden het AI-werk aan

XBOW zegt dat het team de bekroonde keten tussen 2 en 7 augustus 2026 ontwikkelde. GPT-5.6 Sol en eerdere modellen hielpen met het doorzoeken van broncode, het toetsen van hypothesen en het bouwen van proof-of-concepts en exploitstappen. De onderzoekers kozen de doelen, leverden context, beoordeelden en stuurden het werk bij, en bepaalden welke onderdelen ze samenvoegden.

Een eerdere keten viel af nadat Google het team had laten weten dat een van de bugs al bekend was. Door de onderdelen modulair op te bouwen en alternatieven achter de hand te houden, konden de onderzoekers een andere stap inzetten. XBOW schatte de API-kosten voor de uiteindelijke keten op ongeveer 40.000 dollar, op basis van gearchiveerde gebruiksgegevens. Het bedrijf meldde ook dat Google er 250.000 dollar voor uitkeerde en noemde dit de eerste beloning voor een volledige Chrome-keten onder regels die Google in april 2026 invoerde. XBOW beschrijft de werkwijze, kosten en beloning en licht de rol van de onderzoekers toe.

XBOW’s advies aan Chrome-gebruikers

XBOW meldde op 13 oktober dat Google de drie bugs had verholpen en adviseerde Chrome-gebruikers de browser bij te werken en opnieuw te starten, zodat een geïnstalleerde update actief wordt. (XBOW)