La société de cybersécurité XBOW a empoché 250 000 dollars de Google après que ses chercheurs ont utilisé le modèle public GPT‑5.6 Sol d’OpenAI pour construire, en six jours, une chaîne d’exploitation complète contre Chrome.
Points clés :
- Les chercheurs de XBOW ont mobilisé des agents IA basés sur GPT‑5.6 Sol pour combiner trois failles Chrome en une prise de contrôle totale de Windows.
- Google a versé sa prime maximale de 250 000 dollars pour une chaîne complète, et les trois vulnérabilités sont désormais corrigées.
- Le sprint de six jours a coûté environ 40 000 dollars de calcul, et XBOW prévient que le coût des attaques chute rapidement.
L’exploit Chrome de XBOW
XBOW a divulgué ses travaux le 13 octobre, expliquant qu’une simple page web piégée suffisait à contourner les deux niveaux de sandbox de Chrome et à prendre le contrôle d’un PC Windows, sans clic ni téléchargement de la part de l’utilisateur.
La chaîne d’attaque s’appuyait sur trois vulnérabilités : dans le moteur JavaScript V8 de Chrome, dans le décodeur d’images animées WebP et dans Crashpad, l’outil de gestion des crashs qui s’exécute en dehors du bac à sable du navigateur.
Les chercheurs ont monté la chaîne gagnante entre le 2 et le 7 août, en marge des conférences de sécurité Black Hat et DEF CON à Las Vegas. Selon XBOW, ce sprint de six jours a nécessité près de 40 000 dollars de ressources de calcul dédiées à l’IA. Une première tentative avait échoué, Google ayant déjà connaissance de l’une des failles visées.
Google a versé sa prime maximale pour une chaîne complète environ un mois après la soumission, une première depuis la révision du programme intervenue en avril. XBOW estime que ces vulnérabilités exposaient près d’un milliard d’utilisateurs de Chrome sous Windows, tout en précisant qu’aucune n’a été observée dans des attaques réelles et que Google a depuis corrigé les trois failles.
À lire aussi : La France pourrait taxer les swaps de stablecoins à 31,4 %, Chainalysis alerte sur un exode vers l’offshore
Dolan-Gavitt alerte les défenseurs
Brendan Dolan-Gavitt, le chercheur de XBOW qui a finalisé la chaîne à l’aide d’agents IA, rappelle qu’il fallait auparavant une équipe de quatre personnes et six à neuf mois de travail pour élaborer une chaîne complète contre Chrome. Les notes de version de Google le créditent pour deux des trois failles découvertes. Le sprint de six jours s’est par ailleurs appuyé sur plusieurs mois de travaux préalables, dont une première chaîne complète qui avait nécessité deux mois.
« Six jours et 40 000 dollars, ce n’est ni beaucoup de temps ni beaucoup d’argent quand l’enjeu est une chaîne contre Chrome ! », a écrit Dolan-Gavitt. Son message aux équipes de défense est sans détour : « Adaptez vos défenses en conséquence. »
Le fondateur Oege de Moor, qui avait lancé ce défi lors d’une réunion interne en janvier à Malte, explique que l’IA a exploré le code source, testé des pistes et rédigé l’exploit, tandis que les humains sélectionnaient les cibles et validaient les résultats.
Il s’attend à ce que des agents puissent, d’ici un an, identifier chacun des trois bugs de manière autonome. Il balaie au passage les appels à restreindre les modèles les plus puissants, faisant valoir que celui utilisé par XBOW est déjà public. « Rien de tout cela ne doit provoquer la panique, mais cela doit susciter un sentiment d’urgence », écrit-il.
Cette récompense intervient après une expérience menée en juillet, au cours de laquelle des chercheurs de Hacktron ont observé GPT‑5.6 Sol, dans sa configuration Ultra, construire une chaîne d’exploitation fonctionnelle contre Chrome à partir de correctifs de sécurité publics visant V8, avec le lancement d’une simple calculatrice en guise de démonstration. Ce test avait coûté environ 1 597 dollars, mais ne ciblait que des failles déjà corrigées par Google.
