حصلت شركة الأمن السيبراني XBOW على مكافأة قدرها 250 ألف دولار من غوغل بعد أن نجح باحثوها في استخدام نموذج GPT-5.6 Sol العام من OpenAI لبناء سلسلة استغلال كاملة لمتصفح كروم خلال ستة أيام فقط.
أبرز النقاط:
- باحثو XBOW استخدموا وكلاء ذكاء اصطناعي يعملون بنموذج GPT-5.6 Sol لربط ثلاث ثغرات في كروم بسلسلة واحدة تتيح السيطرة الكاملة على نظام ويندوز.
- غوغل دفعت أعلى مكافأة متاحة لديها لسلاسل الاستغلال الكاملة، بقيمة 250 ألف دولار، مع الإشارة إلى أن الثغرات الثلاث أُصلحت جميعاً.
- الاندفاعة البحثية التي استمرت ستة أيام كلفت نحو 40 ألف دولار من القدرة الحاسوبية، وXBOW تحذر من أن تكلفة الهجمات آخذة في الانخفاض سريعاً.
سلسلة استغلال كروم من XBOW
كشفت XBOW في منشور تفصيلي بتاريخ 13 أكتوبر أن صفحة ويب واحدة مُعدّة بعناية كانت قادرة على تجاوز طبقتي العزل (Sandbox) في كروم والاستحواذ الكامل على جهاز يعمل بنظام ويندوز من دون الحاجة إلى نقر المستخدم أو تنزيل أي ملف.
السلسلة جمعت بين ثلاث ثغرات: واحدة في محرك جافاسكربت V8 الخاص بكروم، وأخرى في مُرمِّز صور WebP المتحركة، وثالثة في Crashpad، وهو مكوّن مسؤول عن معالجة الانهيارات يعمل خارج صندوق عزل المتصفح.
الباحثون طوّروا سلسلة الاستغلال الفائزة في الفترة بين 2 و7 أغسطس، بالتزامن مع حضورهم مؤتمري الأمن الشهيرين Black Hat وDEF CON في لاس فيغاس. وتقدّر XBOW تكلفة القدرة الحاسوبية للسباق الذي استمر ستة أيام بنحو 40 ألف دولار. إصدار سابق من السلسلة فشل لأن غوغل كانت قد كشفت سلفاً عن إحدى الثغرات المستهدفة.
غوغل من جانبها منحت المكافأة القصوى لسلسلة استغلال كاملة بعد نحو شهر من الإبلاغ، في أول جائزة من هذا النوع بموجب القواعد المحدّثة لبرنامج المكافآت منذ أبريل. وتقدّر XBOW أن العيوب كانت تعرّض ما يصل إلى مليار مستخدم لكروم على ويندوز للخطر، لكنها تؤكد أنه لا توجد أدلة على استغلالها في هجمات فعلية، وأن غوغل أغلقت الثغرات الثلاث بالكامل.
اقرأ أيضاً: فرنسا قد تفرض ضريبة 31.4% على مبادلات العملات المستقرة، وChainalysis تحذّر من نزوح للأموال إلى الخارج
تحذيرات دولان-غافيت للمدافعين
الباحث برندان دولان-غافيت، من فريق XBOW وصاحب السلسلة النهائية التي تولّى وكلاء الذكاء الاصطناعي بناءها، أوضح أن إنجازاً مماثلاً – سلسلة استغلال كاملة لكروم – كان يحتاج سابقاً إلى فريق من أربعة أشخاص يعملون ستة إلى تسعة أشهر. ملاحظات إصدار غوغل تنسب إليه الفضل في اكتشاف ثغرتين من أصل ثلاث. ويشير إلى أن الاندفاعة الأخيرة استندت إلى أشهر من العمل المسبق، بما في ذلك سلسلة استغلال كاملة أولى استغرقت شهرين لإنجازها.
كتب دولان-غافيت: "ستة أيام و40 ألف دولار ليست زمناً ولا مالاً كبيرين عندما تكون النتيجة سلسلة استغلال لكروم!". وكانت رسالته إلى فرق الدفاع صريحة: "اضبطوا دفاعاتكم على هذا الأساس".
المؤسس أويغه دي مور، الذي طرح التحدي في اجتماع للموظفين في مالطا في يناير، أوضح أن نموذج الذكاء الاصطناعي تولّى تمشيط الشيفرة المصدرية، وتجريب الأفكار، وصياغة الاستغلال، بينما تولى الباحثون البشر اختيار الأهداف والتحقق من النتائج.
يتوقع دي مور أن تصبح الوكلاء الآلية قادرة خلال عام واحد على اكتشاف كل واحدة من الثغرات الثلاث بشكل مستقل، ويرفض الدعوات لتقييد النماذج القوية بحجة أن النموذج الذي استخدمته XBOW متاح للعامة بالفعل. وكتب: "لا داعي للذعر، لكن هناك بالتأكيد ما يستدعي التحرّك العاجل".
تأتي الجائزة بعد تجربة أُجريت في يوليو، راقب فيها باحثو Hacktron نموذج GPT-5.6 Sol في وضع Ultra وهو يبني سلسلة استغلال عاملة لكروم انطلاقاً من تصحيحات أمان علنية لمحرك V8، وانتهت التجربة بتشغيل تطبيق الآلة الحاسبة كدليل على نجاح الهجوم. تلك التجربة كلّفت نحو 1,597 دولاراً لكنها استهدفت ثغرات كانت غوغل قد أصلحتها مسبقاً.
اقرأ التالي: منصّة MNX تفتح الباب لرهانات ما قبل الطرح العام على تقييمات OpenAI وAnthropic دون الحاجة لامتلاك الأسهم
