Nhóm nghiên cứu dùng mô hình OpenAI công khai để xây dựng chuỗi khai thác toàn phần Chrome trị giá 250.000 USD trong sáu ngày
Công ty bảo mật XBOW cho biết các nhà nghiên cứu của họ đã ghép ba lỗ hổng chưa từng được công bố trong Google Chrome thành một chuỗi khai thác toàn phần, có thể chạy mã trên máy tính Windows chỉ bằng việc nạn nhân mở một trang web. Nhóm được cho là đã hoàn thành cuộc tấn công trong sáu ngày bằng cách điều khiển các AI agent chạy trên mô hình GPT-5.6 Sol được OpenAI cung cấp công khai, qua đó nhận khoản tiền thưởng 250.000 USD. Google đã xác nhận cả ba lỗ hổng, phát hành bản vá và trả cho XBOW mức tiền thưởng cao nhất. Vụ việc cho thấy AI agent có thể đẩy nhanh nghiên cứu lỗ hổng phức tạp, đồng thời nhấn mạnh rằng các bản cập nhật bảo mật cho trình duyệt rất quan trọng ngay cả khi cuộc tấn công không cần nạn nhân tải xuống tệp hay thực hiện thêm thao tác nào.
Người dùng Chrome nên cập nhật trình duyệt theo các bản vá mới, còn đội ngũ bảo mật và phát triển cần lưu ý rằng AI agent có thể rút ngắn đáng kể thời gian ghép nhiều lỗ hổng thành một cuộc tấn công hoàn chỉnh. Sự việc cũng cho thấy nghiên cứu bảo mật bằng AI cần đi kèm quy trình báo cáo và vá lỗi có trách nhiệm.
Đọc bài gốc