La société de cybersécurité XBOW a empoché une récompense de 250 000 dollars versée par Google, après que ses chercheurs ont exploité le modèle public GPT-5.6 Sol d’OpenAI pour mettre au point, en six jours, une chaîne complète d’exploits visant Chrome.
Points clés :
- Les chercheurs de XBOW ont utilisé des agents IA alimentés par GPT-5.6 Sol pour combiner trois failles Chrome et obtenir une compromission totale de Windows.
- Google a versé sa prime maximale de 250 000 dollars pour une chaîne complète, et les trois vulnérabilités sont désormais corrigées.
- Cette offensive éclair de six jours a coûté environ 40 000 dollars de calcul, et XBOW alerte sur la baisse rapide du coût des attaques.
Une chaîne d’exploits Chrome signée XBOW
XBOW a dévoilé ses travaux le 13 octobre, expliquant qu’une seule page web malveillante pouvait franchir les deux niveaux de sandbox de Chrome et prendre le contrôle d’un PC Windows sans clic ni téléchargement de la part de l’utilisateur.
La chaîne reliait trois failles distinctes : dans le moteur JavaScript V8 de Chrome, dans le décodeur d’images animées WebP, et dans Crashpad, l’outil de gestion de crash qui s’exécute en dehors du bac à sable du navigateur.
Les chercheurs ont construit la chaîne gagnante entre le 2 et le 7 août, pendant les conférences de sécurité Black Hat et DEF CON à Las Vegas. D’après XBOW, cette poussée de six jours a mobilisé près de 40 000 dollars de ressources de calcul IA. Une première tentative avait échoué, Google ayant déjà connaissance de l’une des vulnérabilités exploitées.
Google a versé sa prime maximale pour une chaîne complète environ un mois après la soumission, la première récompense de ce niveau depuis la révision du programme intervenue en avril. XBOW estime que ces failles exposaient environ 1 milliard d’utilisateurs de Chrome sous Windows, tout en précisant qu’aucune n’a, à sa connaissance, été exploitée dans la nature et que Google a depuis corrigé les trois bugs.
À lire aussi : La France pourrait taxer les swaps de stablecoins à 31,4 %, Chainalysis alerte sur un exode offshore
Dolan-Gavitt alerte les équipes de défense
Brendan Dolan-Gavitt, le chercheur de XBOW qui a finalisé la chaîne d’exploits avec des agents IA, rappelle qu’il fallait auparavant une équipe de quatre personnes et six à neuf mois de travail pour produire une chaîne complète contre Chrome. Les notes de version de Google le crédite pour deux des trois vulnérabilités. Le sprint de six jours s’appuyait lui-même sur plusieurs mois de travaux préparatoires, dont une première chaîne complète qui avait demandé deux mois.
« Six jours et 40 000 dollars, ce n’est pas beaucoup de temps ni d’argent quand l’enjeu est une chaîne Chrome ! », écrit Dolan-Gavitt. Son message aux équipes de défense est sans détour : « Adaptez votre défense en conséquence. »
Le fondateur Oege de Moor, à l’origine du défi lancé lors d’une réunion interne en janvier à Malte, explique que l’IA a fouillé le code source, testé des hypothèses et rédigé l’exploit, tandis que les humains sélectionnaient les cibles et validaient les résultats.
Il s’attend à ce que des agents soient capables de découvrir chacun des trois bugs de façon autonome d’ici un an, et rejette les appels à restreindre les modèles puissants au motif que celui utilisé par XBOW est déjà public. « Rien de tout cela ne justifie la panique, mais cela appelle à l’urgence », écrit-il.
Cette récompense intervient après une expérimentation menée en juillet, où des chercheurs de Hacktron ont observé GPT-5.6 Sol, dans sa configuration Ultra, construire une chaîne fonctionnelle d’exploits Chrome à partir de correctifs de sécurité V8 publiés, avec à la clé le lancement de l’application calculatrice comme preuve de concept. Cette démonstration avait coûté environ 1 597 dollars et visait des bugs déjà corrigés par Google.
À découvrir ensuite : MNX ouvre des paris pré-IPO sur les valorisations d’OpenAI et d’Anthropic, sans achat d’actions
