Em 13 de outubro de 2026, a XBOW divulgou que pesquisadores e agentes de IA montaram uma cadeia de três vulnerabilidades do Chrome durante um sprint de 2 a 7 de agosto. A empresa afirma que o trabalho usou o modelo público GPT-5.6 Sol, da OpenAI, e que o Google concedeu à XBOW uma recompensa de US$ 250 mil (anúncio da XBOW; relato técnico da empresa).
O sprint de seis dias começou do zero?
A XBOW situa o desafio em janeiro de 2026 e conta que uma primeira tentativa de cadeia completa levou dois meses. Essa tentativa foi desclassificada depois que o Google informou que já conhecia uma das falhas incluídas; componentes de reserva permitiram à equipe substituí-la. O sprint de agosto, portanto, corresponde à cadeia premiada, após trabalho anterior, segundo a explicação da XBOW.
A empresa estima que o sprint premiado gerou cerca de US$ 40 mil em custos de computação e uso de APIs. Tanto esse valor quanto a recompensa de US$ 250 mil são cifras relatadas pela XBOW.
Como as três falhas se encadearam
A cadeia reuniu falhas no V8, na decodificação de imagens WebP animadas e no Crashpad, o sistema de tratamento de falhas do Chrome. No relato técnico da XBOW, cada componente cumpriu uma função diferente: uma falha no compilador do V8 permitiu acesso à memória dentro da área isolada do motor; o problema na decodificação de WebP animado abriu caminho para uma escrita nativa fora dessa área; e uma falha de segurança de memória no Crashpad levou à execução de código fora do sandbox do processo de renderização.
Segundo a XBOW, a combinação poderia permitir que uma página preparada levasse à execução de código em uma máquina Windows, sem clique nem download. O alcance descrito dependia da ligação entre as três falhas e da passagem por diferentes limites de segurança do navegador.
O que fizeram os agentes e os pesquisadores
Na descrição da XBOW, os agentes de IA vasculharam código-fonte, testaram hipóteses, montaram provas de conceito e redigiram etapas do exploit. Os pesquisadores escolheram os alvos, forneceram contexto, revisaram e redirecionaram o trabalho e decidiram quais componentes combinar. O relato cita Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee e Willem Pinckaers como integrantes da equipe que assumiu o desafio.
A XBOW estima que a campanha premiada consumiu cerca de US$ 40 mil em computação e APIs; a empresa afirma que o Google concedeu US$ 250 mil pela cadeia completa.
O que a XBOW informou sobre as atualizações do Chrome
A XBOW afirma que as três falhas foram corrigidas e recomenda reiniciar o Chrome após a atualização, para que a correção entre em vigor. Em 3 de setembro de 2026, uma atualização do canal estável do Chrome associou a CVE-2026-85045 a uma condição de corrida de alta gravidade no V8 e listou as versões 152.0.7977.82 e 152.0.7977.83.
Para quem usa o navegador, a orientação da XBOW é atualizar o Chrome e reabri-lo depois da instalação.
