Em 13 de outubro de 2026, a XBOW divulgou que pesquisadores, com ajuda do GPT-5.6 Sol, encadearam três falhas do Google Chrome e demonstraram execução de código no Windows a partir de uma página aberta no Chrome Beta assinado. Na demonstração controlada, a página abriu a Calculadora do Windows, segundo o relato técnico da XBOW. A empresa situa o trabalho entre 2 e 7 de agosto de 2026.

Como a cadeia relatada pela XBOW funcionava

A cadeia combinou falhas em três componentes: V8, o mecanismo JavaScript do Chrome; Blink, seu mecanismo de renderização; e Crashpad, que lida com relatórios de falhas. Cada etapa contribuiu para avançar além de uma barreira de segurança do navegador.

  • V8 Maglev: uma falha de desotimização permitiu que o JavaScript lesse e escrevesse dados em toda a área de memória chamada pointer-compression cage.
  • Blink e animated-WebP: uma falha na decodificação de imagens WebP animadas permitiu uma escrita nativa controlada fora dessa área.
  • Crashpad no Windows: uma falha no tratamento da memória de processos permitiu execução de código no gerenciador de falhas, que não fica dentro do sandbox do navegador.

Em conjunto, as etapas levaram de JavaScript em uma aba do Chrome à execução de código no sistema operacional. O sandbox é a camada de isolamento que restringe o acesso do processo do navegador ao restante do sistema; a prova de conceito descrita pela XBOW mostrou como a cadeia atravessou essas barreiras e abriu a Calculadora do Windows.

O papel do GPT-5.6 Sol e dos pesquisadores

A XBOW afirma que o GPT-5.6 Sol e modelos anteriores ajudaram a pesquisar o código-fonte do Chrome, testar hipóteses, criar provas de conceito e desenvolver etapas do exploit. Os pesquisadores escolheram os alvos, forneceram contexto, avaliaram e redirecionaram os resultados e decidiram quais componentes combinaram, de acordo com a descrição da empresa.

A primeira cadeia preparada pela equipe teve de ser abandonada depois que o Google informou que uma das falhas já era conhecida. A XBOW diz que a estrutura modular e as alternativas disponíveis permitiram substituir essa etapa e completar a cadeia premiada.

A empresa estima que o trabalho consumiu cerca de US$ 40 mil em cobranças de API. Também afirma que o Google concedeu à equipe US$ 250 mil, a primeira recompensa por uma cadeia completa do Chrome sob regras introduzidas em abril de 2026.

O que a XBOW recomenda a quem usa Chrome

A XBOW afirma que o Google corrigiu as três falhas e recomenda instalar as atualizações do Chrome e reiniciar o navegador para que uma atualização instalada entre em vigor. A orientação da empresa é aplicar as atualizações e reabrir o navegador.