أعلنت شركة XBOW المتخصصة في الأمن الهجومي المؤتمت، في 13 أكتوبر 2026، أن Google منحتها 250 ألف دولار ضمن برنامج مكافآت الثغرات في Chrome عن سلسلة استغلال كاملة (full chain) تستهدف المتصفح على Windows، وهي أول مكافأة من هذا النوع بموجب قواعد البرنامج لعام 2026 بحسب الشركة.
وقال مؤسس الشركة Oege de Moor في منشور على X إنها المرة الثانية في تاريخ Chrome التي تمنح فيها Google 250 ألف دولار عن سلسلة استغلال كاملة، ونشر معه صورة رسالة من فريق برنامج المكافآت تؤكد المبلغ، مع إخفاء أجزاء منها.
وبحسب مدونة الشركة، بدأ المشروع بطلب طرحه de Moor على فريقه في اجتماع مطلع 2026 في مالطا يتضمن بناء سلسلة استغلال كاملة لـ Chrome قبل مؤتمر Black Hat في أغسطس، لاختبار قدرة XBOW على الانتقال من تطبيقات الويب إلى برمجيات سطح المكتب والخوادم والأجهزة. وعمل على التحدي أربعة باحثين هم Brendan Dolan-Gavitt وAndres Luksenberg وBaul Lee وWillem Pinckaers، إلى جانب نموذج GPT-5.6 Sol من OpenAI.
غير أن Google أبلغت الفريق أنها تعرف مسبقاً أحد الأخطاء في السلسلة التي بناها أولاً. فبنى الباحث Brendan Dolan-Gavitt ووكلاء الذكاء الاصطناعي سلسلة جديدة في ستة أيام، بين 2 و7 أغسطس، وهم في لاس فيغاس لحضور Black Hat وDEF CON. ويقول de Moor إن كلفة الحوسبة بلغت نحو 40 ألف دولار.
وتتألف السلسلة، بحسب بيان XBOW الصحفي، من ثلاث ثغرات:
- خلل في محرك V8 يمنح المهاجم تحكماً بالذاكرة داخل بيئة العزل للمحرك.
- خلل في مفكك صور WebP المتحركة يخرج منه بكتابة واحدة دقيقة في الذاكرة الأصلية.
- خلل في Crashpad، معالج الأعطال الذي يعمل خارج بيئة العزل، ويقود ذلك إلى تنفيذ كامل للشيفرة.
وتقدر الشركة أن السلسلة تمس نحو مليار مستخدم لـ Chrome على Windows.
وتقول XBOW إنها أبلغت عن الثغرات عبر برنامج Google الرسمي، وإن Google أعادت إنتاج الاستغلال وأصدرت الإصلاحات، وإنها لم تستخدم ضد مستخدمي Chrome. ولم تنشر Google تعليقاً علنياً على المكافأة حتى كتابة هذا الخبر.
وقال de Moor في مقابلة مع Forbes إن المهاجمين صاروا قادرين على أمر كهذا بسهولة أكبر بكثير مما مضى، وإن على المدافعين في العالم كله أن يستنفروا لإصلاح أكبر قدر ممكن من الثغرات. وأضاف أن XBOW تنتظر مراجعة Google لاستغلالين آخرين بنتهما بنماذج OpenAI المتاحة للعموم، وقد يؤهلانها للمكافأة نفسها.
وينقل de Moor عن خبير سابق في أجهزة الاستخبارات أن فريقه كان ينفق نحو ستة أشهر على ثغرة من هذا النوع. ويرى أن كلفة إيجاد الثغرات الخطيرة ووقته ينخفضان بسرعة على المهاجمين والمدافعين معاً، وأن تقييد النماذج القوية ليس الحل لأن GPT-5.6 Sol متاح للعموم أصلاً. ويضيف أن للمدافعين ميزة لا يملكها المهاجمون، وهي اختبار شيفرتهم قبل غيرهم، وينصح الشركات بافتراض أن تطبيقاتها قابلة للاستغلال.
وفي البيان نفسه، قال Clint Gibler، رئيس أبحاث الأمن السيبراني في OpenAI، إن باحثاً واحداً من XBOW استخدم نماذج OpenAI لكشف سلسلة ثغرات أصلحتها Google.
وتطور XBOW حالياً منتجاً مؤتمتاً لاختبار البرمجيات المترجمة، من تطبيقات سطح المكتب والخوادم إلى الأجهزة المدمجة، وتبحث عن شركاء من كبرى الجهات لتصميمه. وينصح de Moor مستخدمي Chrome بإعادة تشغيل المتصفح كلما ظهر زر التحديث.
