الخلاصة
- بنت XBOW سلسلة استغلال كاملة لمتصفح كروم بوكلاء ذكاء اصطناعي خلال 6 أيام، ونالت من غوغل مكافأة 250 ألف دولار.
- الوكلاء عملوا بنموذج GPT-5.6 Sol المتاح للعموم، وكلفت الحوسبة 40 ألف دولار، والثغرات الثلاث أُصلحت كلها.
- الشركة تقول إن مهارات المهاجمين صارت بيد المدافعين بضغطة زر، وتوصي باختبار البرمجيات قبل أن يفعل المهاجمون.
خبر:
سلسلة استغلال كاملة لمتصفح كروم، تصيب نحو مليار مستخدم، بناها فريق XBOW بوكلاء ذكاء اصطناعي في 6 أيام بين 2 و7 أغسطس 2026 وبكلفة حوسبة 40 ألف دولار، بحسب منشور الشركة في 13 أكتوبر. غوغل منحت الفريق 250 ألف دولار، وهي أول مكافأة بقواعدها الجديدة لعام 2026، وأصلحت الثغرات الثلاث. الوكلاء استخدموا نموذج GPT-5.6 Sol العام لا نموذجاً متخصصاً أو مقيّداً.
تفصيل:
- التسلسل الزمني: بدأ المشروع في اجتماع عام للشركة في مالطا مطلع 2026، وكان الهدف عرض النتيجة في مؤتمر Black Hat في أغسطس. بعدما أبلغت غوغل الفريق أنها تعرف إحدى ثغرات السلسلة الأولى سلفاً، بنى بريندان دولان-غافيت سلسلة بديلة في لاس فيغاس بين الأحد 2 أغسطس والجمعة 7 أغسطس 2026.
- توزيع الأدوار: حدد البشر الأربعة، بريندان دولان-غافيت وأندريس لوكسنبرغ وبول لي وويليم بينكايرس، الاستراتيجية ومواضع البحث، وراجعوا عمل الوكلاء وأعادوا توجيههم بحسب النتائج الأولى. أما الوكلاء فبحثوا في شيفرة كروم المصدرية، واختبروا الفرضيات، وبنوا نماذج إثبات المفهوم، وكتبوا المسودات الأولى للاستغلال.
- بنية السلسلة: تألفت السلسلة من 3 ثغرات، وبُنيت على أجزاء مستقلة لكل منها بديل، وهو ما سمح للفريق باستبدال ثغرة احتياطية حين تبيّن أن إحدى الثغرات مبلّغ عنها سلفاً. لم تنشر XBOW معرّفات CVE ولا أنواع الثغرات ولا أرقام إصدارات كروم المتأثرة، وأحالت التفاصيل التقنية إلى منشور مرافق.
- النموذج المستخدم: اختارت XBOW نموذج GPT-5.6 Sol من أوبن إيه آي والإصدارات التي سبقته، وهي نماذج متاحة للعموم، وتقول الشركة إنها اختارت نموذجاً عاماً عمداً بدل نموذج متخصص أو مقيّد الوصول، وإن كلفة الحوسبة للسلسلة الفائزة على مدى الأيام الستة بلغت 40 ألف دولار.
- موقف غوغل: منحت غوغل المكافأة البالغة 250 ألف دولار، ووصفتها XBOW بأنها الأولى بموجب قواعد غوغل الجديدة لعام 2026، وأكدت أن الثغرات الثلاث أُصلحت جميعاً. ولم تحدد XBOW تاريخ منح المكافأة ولا تاريخ الإصلاحات، واكتفت بالقول إنها نالتها في وقت سابق من هذا العام.
- رسالة XBOW: ترى XBOW أن المدافعين صار بوسعهم للمرة الأولى الوصول إلى مهارات المهاجمين بضغطة زر، وتوصي المستخدمين بتحديث كروم وإعادة تشغيله لأن الإصلاح لا يسري إلا بعد إعادة التشغيل، وتوصي الشركات باختبار برمجياتها بحثاً عن الثغرات قبل أن يسبقها المهاجمون إليها.
- حجم الأثر: تقدّر XBOW عدد المستخدمين المعرّضين بنحو مليار مستخدم حول العالم، وهو تقدير الشركة في عنوان منشورها. وتبقى كلفة العملية عند 40 ألف دولار حوسبة في 6 أيام مقابل مكافأة 250 ألف دولار، أي أن المكافأة بلغت أكثر من 6 أضعاف كلفة الحوسبة المعلنة، من دون احتساب وقت الباحثين الأربعة.
- سياق الزمن: جرى البناء في مطلع أغسطس ونُشر المنشور في 13 أكتوبر 2026، أي بعد أكثر من شهرين، بعدما أُصلحت الثغرات الثلاث. وجاء النشر بعد موعد Black Hat الذي كان الهدف الأصلي، ولم تذكر XBOW ما إذا كانت قد عرضت النتيجة في المؤتمر.
ماذا بعد؟
المنشور التقني المرافق من XBOW بتفاصيل الثغرات الثلاث ومعرّفاتها، وما إذا كانت غوغل ستعلّق رسمياً على أول مكافأة بقواعد 2026.
