Nghiên cứu dùng mô hình OpenAI công khai để tạo chuỗi khai thác Chrome trong 6 ngày
"Researchers at XBOW used OpenAI's publicly available GPT-5.6 Sol model to help build a full-chain Chrome exploit in six days, chaining three previously unknown bugs to achieve code execution on Windows when a user merely loaded a web page. Google confirmed and fixed the vulnerabilities, including CVE-2026-85045 in V8 and CVE-2026-78952 in Crashpad, and XBOW received Google's top $250,000 Chrome vulnerability reward for the report."
Tác động bảo mật cao do có thể dẫn tới thực thi mã từ xa chỉ với việc mở trang web, ảnh hưởng đến người dùng Chrome trên Windows và làm tăng áp lực vá lỗi nhanh.
Có thể gây gián đoạn vận hành nếu máy trạm chưa cập nhật, đồng thời làm tăng chi phí cho quản lý bản vá, giám sát endpoint và đánh giá rủi ro trình duyệt.
Nhóm nghiên cứu của XBOW cho biết đã dùng GPT-5.6 Sol của OpenAI, một mô hình công khai, để hỗ trợ xây dựng một full-chain exploit cho Google Chrome chỉ trong 6 ngày. Chuỗi khai thác này kết hợp 3 lỗ hổng chưa từng được biết đến tại thời điểm phát hiện, cho phép thực thi mã trên Windows khi nạn nhân chỉ cần mở một trang web.
Google đã xác nhận và vá các lỗi liên quan, trong đó có CVE-2026-85045 trong V8 và CVE-2026-78952 trong Crashpad. Lỗi còn lại nằm ở bộ giải mã Animated-WebP và đã được khắc phục trong chu kỳ Chrome 152. Theo XBOW, các lỗ hổng chưa bị khai thác ngoài thực tế trước khi bản vá được phát hành.
Khuyến nghị kỹ thuật: quản trị viên và người dùng nên khởi động lại Chrome để bản vá có hiệu lực và kiểm tra phiên bản 152.0.7977.82 trở lên. Sự việc cho thấy các chuỗi khai thác trình duyệt có thể được phát triển nhanh hơn khi kết hợp AI agents, vì vậy đội an ninh cần tăng cường theo dõi bản vá, kiểm thử ứng dụng web và giám sát hành vi trình duyệt trên máy trạm.