حصلت شركة الأمن السيبراني XBOW على مكافأة قدرها 250 ألف دولار من Google بعد أن استخدم باحثوها نموذج GPT‑5.6 Sol العام من OpenAI لبناء سلسلة استغلال كاملة لمتصفح كروم خلال ستة أيام فقط.
أبرز النقاط:
- باحثو XBOW استخدموا وكلاء ذكاء اصطناعي يعملون بنموذج GPT‑5.6 Sol لربط ثلاث ثغرات في كروم في سلسلة واحدة مكّنت من السيطرة الكاملة على ويندوز.
- جوجل دفعت أعلى مكافآتها لسلاسل الاستغلال الكاملة، بقيمة 250 ألف دولار، والثغرات الثلاث جرى إصلاحها بالكامل.
- الاندفاعة البحثية التي استمرت ستة أيام كلفت نحو 40 ألف دولار في الحوسبة، وXBOW تحذر من أن كلفة الهجمات تتراجع بسرعة.
استغلال كروم على طريقة XBOW
كشفت XBOW عن تفاصيل الاختراق في 13 أكتوبر، موضحة أن صفحة ويب واحدة مصمّمة بعناية كانت كفيلة بتجاوز طبقتي العزل (Sandbox) في كروم والسيطرة على جهاز يعمل بنظام ويندوز من دون حاجة لأي نقرة أو تنزيل من المستخدم. كشف الشركة أوضح أن الهجوم يعتمد بالكامل على التصفح السلبي.
سلسلة الهجوم جمعت بين ثلاث ثغرات: إحداها في محرك JavaScript V8 الخاص بكروم، والثانية في مفسّر صور WebP المتحركة، والثالثة في Crashpad، وهو مكوّن لمعالجة الأعطال يعمل خارج صندوق عزل المتصفح.
الباحثون طوّروا سلسلة الاستغلال الفائزة بين 2 و7 أغسطس، بينما كانوا يحضرون مؤتمري Black Hat وDEF CON للأمن السيبراني في لاس فيغاس. وبحسب تقديرات XBOW، بلغت كلفة تشغيل الذكاء الاصطناعي نحو 40 ألف دولار في الحوسبة خلال الأيام الستة. نسخة سابقة من السلسلة فشلت لأن جوجل كانت قد اكتشفت إحدى الثغرات بالفعل.
جوجل دفعت أعلى مكافأة لسلسلة استغلال كاملة بعد قرابة شهر من استلامها التقرير، وهي أول جائزة تُمنح وفق قواعد برنامج المكافآت المحدَّثة في أبريل. وقدّرت XBOW أن العيوب عرضت نحو مليار مستخدم لكروم على ويندوز للخطر، لكنها أكدت أنه لا توجد دلائل على استغلالها فعلياً في هجمات، وأن جوجل سدّت الثغرات الثلاث عبر تحديثات متصفحها.
اقرأ أيضاً: فرنسا قد تفرض ضريبة 31.4% على مقايضات العملات المستقرة، وتحذيرات من نزوح السيولة إلى الخارج
تحذيرات دولان‑غافيت لفرق الدفاع
الباحث بريندان دولان‑غافيت، من فريق XBOW والذي بنى السلسلة النهائية بمساعدة وكلاء الذكاء الاصطناعي، أوضح أن تنفيذ سلسلة استغلال كاملة لكروم كان يتطلّب سابقاً فريقاً من أربعة أشخاص يعمل ما بين ستة وتسعة أشهر. ملاحظات الإصدارات من جوجل تنسب إليه الفضل في اكتشاف اثنتين من الثغرات الثلاث. وأشار إلى أن الاندفاعة الأخيرة اعتمدت على أشهر من العمل التمهيدي، بما في ذلك سلسلة استغلال كاملة أولى استغرقت شهرين لتجهيزها.
وكتب دولان‑غافيت: "ستة أيام و40 ألف دولار ليست زمناً ولا مالاً كثيراً عندما يكون العائد سلسلة استغلال لكروم!". وكانت نصيحته لفرق الأمن واضحة ومباشرة: "ضعوا دفاعاتكم على هذا الأساس".
المؤسس أويغي دي مور، الذي طرح هذا التحدي في اجتماع للموظفين بمالطا في يناير، أوضح أن الذكاء الاصطناعي تولّى البحث في الشيفرة المصدرية، وتجربة الأفكار، وصياغة كود الاستغلال، بينما تولّى البشر اختيار الأهداف ومراجعة النتائج.
ويتوقع دي مور أن تتمكّن الوكلاء خلال عام من اكتشاف كل ثغرة من الثغرات الثلاث بشكل مستقل، كما رفض الدعوات لتقييد النماذج القوية بحجة أن النموذج الذي استخدمته XBOW متاح بالفعل للعامة. وكتب: "لا يوجد ما يدعو إلى الذعر، لكن هناك ما يدعو إلى التحرك العاجل".
الجائزة الحالية تأتي بعد تجربة في يوليو راقب فيها باحثو Hacktron نموذج GPT‑5.6 Sol، في إعداد Ultra، وهو يبني سلسلة استغلال عاملة لكروم انطلاقاً من تصحيحات أمنية علنية لمحرك V8، مع تشغيل تطبيق الآلة الحاسبة كدليل على التنفيذ. بلغت كلفة تلك التجربة نحو 1,597 دولاراً، لكنها استهدفت ثغرات كانت جوجل قد أصلحتها مسبقاً.
اقرأ التالي: منصة MNX تفتح باب الرهانات ما قبل الطرح العام على تقييمات OpenAI وAnthropic من دون امتلاك الأسهم
