XBOW, OpenAI modeliyle altı günde 250 bin dolarlık Chrome tam zincir istismarı geliştirdi

Güvenlik şirketi XBOW, OpenAI'ın herkese açık bir modeliyle çalışan yapay zekâ ajanlarını kullanarak altı günde Google Chrome için tam zincir bir istismar geliştirdi ve Google'ın en yüksek hata ödülü olan 250 bin doları kazandı. The Hacker News'in 14 Ekim 2026'da aktardığına göre zincir, daha önce bilinmeyen üç açığı birleştirerek yalnızca bir web sayfasının açılmasıyla Windows bilgisayarda kod çalıştırılmasına ve Chrome'un iç içe geçmiş iki sanal alanının (sandbox) da aşılmasına imkân veriyordu. Google üç açığı da kapattı; XBOW açıkların Chrome kullanıcılarına karşı hiç kullanılmadığını belirtiyor.

Neler oldu?

Habere göre XBOW ekibi, OpenAI'ın GPT-5.6 Sol modeliyle çalışan ajanlara Chrome kaynak kodunu taratıp fikirleri test ettirdi, kavram kanıtları ve istismarın ilk taslaklarını hazırlattı. Hedefleri seçmek, bağlam sağlamak, ajanların bulgularını sorgulamak ve parçaları nasıl birleştireceğine karar vermek ise araştırmacılara kaldı. Ödül alan zincir üzerinde araştırmacı Brendan Dolan-Gavitt çalıştı.

Zincir, aylarca süren önceki çalışmaların ardından 2-7 Ağustos 2026 arasında, Black Hat ve DEF CON konferansları sırasında hazırlandı; XBOW'un ilk tam Chrome zincirinin iki ay sürdüğü aktarılıyor. Şirket kendi kullanım kayıtlarına dayanarak altı günlük çalışmanın yaklaşık 40 bin dolarlık yapay zekâ maliyeti doğurduğunu söylüyor. Bir aşamada zincirin dayandığı açıklardan birinin Google tarafından zaten bilindiği ortaya çıktı; ancak istismar değiştirilebilir parçalardan kurulduğu için ekip o parçayı yenisiyle değiştirdi.

Teknik detaylar

The Hacker News üç aşamayı şöyle anlatıyor: İlk aşamada CVE-2026-85045 olarak izlenen V8 JavaScript motoru açığı motorun belleği üzerinde kontrol sağlıyor; bu açık 3 Eylül'de 152.0.7977.82 sürümüyle kapatıldı. İkinci aşamada animasyonlu WebP görüntü çözücüsündeki bir açık, tek ve hassas bir bellek yazımıyla iç sanal alandan çıkmak için kullanıldı; yayın, bu açık için doğrulanabilir bir kamu kimliği bulunmadığını belirtiyor. Üçüncü aşamada 25 Ağustos'ta 152.0.7977.65 sürümüyle kapatılan ve CVE-2026-78952 olarak izlenen Crashpad hata işleyicisi açığı, bu yazımı sanal alan dışında tam kod çalıştırmaya dönüştürdü. Tanımlanan iki açık da yüksek önem derecesinde.

Google, yılda en fazla dört tam zincir ödülü veren 2026 Chrome Güvenlik Açığı Ödül Programı kurallarındaki en yüksek tutar olan 250 bin doları ödedi. XBOW bunun yeni kurallar kapsamındaki ilk tam zincir ödülü ve otonom bir güvenlik şirketine ödenen ilk ödül olduğunu söylüyor.

Neden önemli?

XBOW, düzeltmeler yayımlanmadan önce Windows'ta Chrome kullanan yaklaşık bir milyar kişinin bu tür bir saldırıya açık olduğunu tahmin ediyor. Dolan-Gavitt, tam bir Chrome zincirinin daha önce dört kişilik bir ekibin yaklaşık altı ila dokuz aylık emeğini gerektirdiğini söyledi ve savunmacıları, altı gün ile 40 bin doların böyle bir istismar için küçük bir yatırım olduğu konusunda uyardı. Vaka, yapay zekâ modellerinin gelişmiş tarayıcı istismarlarının süresini ve maliyetini hızla düşürdüğüne dair kanıtlara bir yenisini ekliyor.

Ne yapmalı?

Tüm platformlardaki Chrome kullanıcıları 152.0.7977.82 veya daha yeni bir sürüm kullandıklarını doğrulamalı; güncel sürümler bu düzeltmeleri zaten içeriyor. Güncellemenin etkili olması için Chrome yeniden başlatılmalı. Kurumlar yönetim politikalarıyla otomatik tarayıcı güncellemesini ve yeniden başlatma sürelerini zorunlu kılmalı, istismar geliştirme maliyetinin düştüğünü göz önünde bulundurarak tarayıcı yama sürelerini kısaltmalı.