La firma de ciberseguridad XBOW ha cobrado una recompensa de 250.000 dólares de Google tras utilizar el modelo público GPT-5.6 Sol de OpenAI para desarrollar en seis días una cadena completa de explotación contra Chrome.
Claves:
- Investigadores de XBOW emplearon agentes de IA basados en GPT-5.6 Sol para combinar tres fallos de Chrome y conseguir la toma de control total de Windows.
- Google pagó su máxima recompensa de 250.000 dólares por una cadena completa, y las tres vulnerabilidades ya han sido corregidas.
- El sprint de seis días costó unos 40.000 dólares en cómputo, y XBOW advierte de que el coste de los ciberataques está cayendo con rapidez.
La cadena de explotación de Chrome de XBOW
XBOW reveló el trabajo el 13 de octubre, explicando que una única página web preparada podía atravesar ambos niveles de sandbox de Chrome y hacerse con el control de un equipo con Windows sin que el usuario hiciera clic ni descargara nada.
La cadena combinaba tres vulnerabilidades: una en V8, el motor de JavaScript de Chrome; otra en el decodificador de imágenes animadas WebP; y una tercera en Crashpad, el gestor de fallos que se ejecuta fuera del sandbox del navegador.
Los investigadores construyeron la cadena ganadora entre el 2 y el 7 de agosto, mientras asistían a las conferencias de seguridad Black Hat y DEF CON en Las Vegas. Según los cálculos de XBOW, la ofensiva de seis días supuso unos 40.000 dólares en costes de computación para IA. Una versión anterior fracasó porque Google ya conocía una de las vulnerabilidades implicadas.
Google abonó su recompensa máxima para una cadena completa aproximadamente un mes después de la presentación, el primer pago de este tipo desde que el programa fue revisado en abril. XBOW calcula que los fallos dejaron expuestos a unos 1.000 millones de usuarios de Chrome en Windows, aunque afirma que no hay indicios de explotación real y que Google ha parcheado ya las tres brechas.
También te puede interesar: Francia podría gravar los intercambios de stablecoins al 31,4%, Chainalysis alerta de una fuga hacia el exterior
La advertencia de Dolan-Gavitt a los defensores
Brendan Dolan-Gavitt, el investigador de XBOW que ensambló la cadena final con ayuda de agentes de IA, recuerda que antes un equipo de cuatro personas podía tardar entre seis y nueve meses en producir una cadena completa contra Chrome. Las notas de publicación de Google le atribuyen dos de las tres vulnerabilidades. El sprint final se apoyó en meses de trabajo previo, incluida una primera cadena completa que llevó dos meses.
«Seis días y 40.000 dólares no son mucho tiempo ni mucho dinero cuando la recompensa es una cadena de Chrome», escribió Dolan-Gavitt. Su mensaje para los defensores fue directo: «Defiéndanse en consecuencia».
El fundador Oege de Moor, que planteó el reto en una reunión interna en Malta en enero, explicó que la IA se encargó de revisar código fuente, poner a prueba ideas y redactar el exploit, mientras que los ingenieros humanos seleccionaban objetivos y validaban los resultados.
De Moor prevé que, en el plazo de un año, agentes de IA podrán localizar por sí mismos cada una de las tres vulnerabilidades, y resta peso a las peticiones de limitar los modelos más potentes, dado que el utilizado por XBOW ya es público. «Nada de esto es motivo de pánico, pero sí de urgencia», señaló.
La recompensa llega después de un experimento en julio en el que investigadores de Hacktron observaron cómo GPT-5.6 Sol, en su configuración Ultra, construía una cadena de explotación funcional de Chrome a partir de parches de seguridad públicos de V8, lanzando la calculadora como prueba de concepto. Aquel ensayo costó unos 1.597 dólares, pero se apoyó en fallos que Google ya había corregido.
Lee también: MNX abre apuestas pre-OPV sobre las valoraciones de OpenAI y Anthropic, sin necesidad de poseer acciones
