La firma de ciberseguridad XBOW ha cobrado una recompensa de 250.000 dólares de Google después de que sus investigadores utilizaran el modelo público GPT-5.6 Sol de OpenAI para desarrollar, en solo seis días, una cadena completa de explotación de Chrome.
Puntos clave:
- Investigadores de XBOW emplearon agentes de IA basados en GPT-5.6 Sol para encadenar tres fallos de Chrome y lograr una toma de control total de Windows.
- Google pagó la recompensa máxima de 250.000 dólares por una cadena completa, y las tres vulnerabilidades ya han sido corregidas.
- El sprint de seis días costó unos 40.000 dólares en cómputo, y XBOW advierte de que el coste de los ciberataques está cayendo rápidamente.
La cadena de explotación de Chrome de XBOW
XBOW reveló el trabajo el 13 de octubre, explicando que una única página web maliciosa bastaba para atravesar las dos capas de sandbox de Chrome y tomar el control de un equipo con Windows sin necesidad de clics ni descargas por parte del usuario.
La cadena enlazaba tres errores: uno en V8, el motor de JavaScript de Chrome; otro en el decodificador de imágenes animadas WebP; y un tercero en Crashpad, el gestor de fallos que se ejecuta fuera del sandbox del navegador.
Los investigadores construyeron la cadena ganadora entre el 2 y el 7 de agosto, mientras asistían a las conferencias de seguridad Black Hat y DEF CON en Las Vegas. Según las cuentas de XBOW, el esfuerzo intensivo de seis días supuso unos 40.000 dólares en coste de computación de IA. Una versión anterior fracasó porque Google ya conocía una de las vulnerabilidades que pretendían aprovechar.
Google abonó la recompensa máxima por cadena completa aproximadamente un mes después de la presentación, el primer pago de este tipo desde que revisó las normas de su programa de bug bounty en abril. XBOW calcula que los fallos llegaron a exponer a cerca de 1.000 millones de usuarios de Chrome en Windows, si bien asegura que no hay indicios de explotación real y que Google ya ha parcheado los tres problemas.
También te puede interesar: Francia podría gravar los intercambios de stablecoins al 31,4 %, Chainalysis alerta de una fuga hacia el exterior
Dolan-Gavitt lanza una advertencia a los defensores
Brendan Dolan-Gavitt, el investigador de XBOW que ensambló la cadena final con ayuda de agentes de IA, recuerda que antes un equipo de cuatro personas necesitaba entre seis y nueve meses para producir una cadena completa contra Chrome. Las notas de versión de Google le atribuyen el hallazgo de dos de los tres fallos. El sprint de seis días, sin embargo, se apoyó en meses de trabajo previo, incluido un primer full chain que llevó dos meses completar.
«Seis días y 40.000 dólares no son mucho tiempo ni mucho dinero cuando el premio es una cadena completa contra Chrome», escribió Dolan-Gavitt. Su mensaje a los equipos defensivos fue directo: «Defiéndanse en consecuencia».
El fundador Oege de Moor, que lanzó el reto en una reunión interna celebrada en enero en Malta, explica que la IA se encargó de rastrear el código fuente, poner a prueba hipótesis y redactar el exploit, mientras que los humanos seleccionaban objetivos y validaban los resultados.
De Moor espera que, en el plazo de un año, los agentes puedan localizar por sí solos cada una de las tres vulnerabilidades. También resta importancia a las llamadas a restringir los modelos potentes, recordando que el que usó XBOW ya es público. «Nada de esto es motivo de pánico, pero sí de actuar con urgencia», señaló.
El premio llega después de un experimento realizado en julio, en el que investigadores de Hacktron observaron cómo GPT-5.6 Sol, en su configuración Ultra, construía una cadena funcional de explotación de Chrome a partir de parches de seguridad públicos de V8, abriendo una calculadora como prueba de concepto. Aquella prueba costó unos 1.597 dólares, pero se centró en errores que Google ya había corregido.
Sigue leyendo: MNX abre apuestas pre-OPV sobre las valoraciones de OpenAI y Anthropic, sin necesidad de poseer acciones
