Araştırmacılar, OpenAI’nin kamuya açık GPT-5.6 Sol modelini yönlendiren yapay zekâ ajanlarıyla yalnızca altı günde Chrome’da tam zincir bir istismar geliştirdi; çalışma 250 bin dolarlık bir ödül getirdi. Google ise zinciri oluşturan üç açığın tamamını doğruladığını, yamaları yayımladığını ve XBOW’a en yüksek ödülünü ödediğini açıkladı.
XBOW’un ortaya koyduğu çalışma, tarayıcı güvenlik ödül programlarında yapay zekâ destekli araştırmanın hangi hızda sonuç verebildiğini gösterdi. Elde edilen sonuç, tek bir hata yerine üç ayrı açığın birlikte kullanılmasıyla tam zincir bir saldırı yolunun kurulmasına dayanıyordu. Şirket, saldırı zincirini insan eliyle değil, GPT-5.6 Sol tabanlı ajanların yönlendirilmesiyle inşa ettiğini belirtti.
Buradaki kritik nokta, modelin doğrudan istismar kodu yazmasından çok, araştırma sürecini hızlandıran bir iş akışının parçası olarak kullanılması oldu. Güvenlik ekipleri aynı tür otomasyonları savunma tarafında da kullanıyor; büyük kod tabanlarında zafiyet avını hızlandırmak, yeniden üretim adımlarını düzenlemek ve bulguları sınıflandırmak için benzer araçlardan yararlanılıyor. Ancak XBOW’un çalışmasında hedef, Chrome üzerinde çalışabilir bir zincir oluşturmaktı.
Google’ın doğruladığı üç açık kapatıldıktan sonra ödeme de sonuçlandı. Böylece hem tarayıcı tarafındaki kusurlar yamalanmış oldu hem de yapay zekâ destekli bir güvenlik araştırmasının, olgun bir ürünün saldırı yüzeyinde kısa sürede gerçek bir zincire dönüşebildiği kayda geçti. Vakada hangi teknik adımların kullanıldığına ilişkin ayrıntılar sınırlı tutulsa da, altı günlük süre ve 250 bin dolarlık ödül, keşiften sömürüye giden hattın ne kadar hızlı kurulabildiğini gösterdi.