Des chercheurs de XBOW ont conçu un exploit Chrome complet en six jours avec un modèle OpenAI public. Google a corrigé les failles.

Une équipe de la société de sécurité XBOW affirme avoir mis au point un exploit Chrome complet en seulement six jours. Pour y parvenir, ses chercheurs ont piloté des agents d’IA reposant sur un modèle d’OpenAI accessible à tous : GPT-5.6 Sol. Google a depuis confirmé les failles, les a corrigées et a versé à XBOW sa récompense maximale, soit 250 000 dollars.

Un exploit Chrome en six jours grâce à l’IA

Le résultat est une chaîne d’attaque complète. Elle enchaîne trois vulnérabilités de Google Chrome, toutes inconnues au moment de la découverte. Autrement dit, il s’agissait de failles « zero-day ».

Le scénario est particulièrement préoccupant. Il suffit que la victime charge une page web pour que du code s’exécute sur son ordinateur Windows. Aucune autre action n’est mentionnée.

Le délai mérite aussi l’attention. Six jours séparent le début du travail et l’exploit fonctionnel. Or ce type de réalisation demande habituellement des semaines, voire des mois, à des experts très qualifiés.

Comment fonctionne une chaîne d’attaque complète

Une chaîne complète, ou « full-chain », combine plusieurs failles. En général, une seule vulnérabilité ne suffit pas à compromettre un navigateur moderne. Chrome empile en effet plusieurs couches de protection.

Les attaquants doivent donc franchir ces barrières l’une après l’autre. Chaque bug exploité sert de marche vers l’étape suivante. À la fin, le code arrive à s’exécuter sur la machine.

Ici, XBOW a réuni trois failles pour atteindre cet objectif. La source ne détaille pas leur nature. Aucun identifiant CVE n’est cité à ce stade. Il faudra donc attendre les avis officiels pour connaître le détail technique.

Voici ce que l’on sait en revanche :

• les trois bugs étaient inconnus avant la découverte ;
• la cible était Chrome sur Windows ;
• le déclencheur est le simple chargement d’une page ;
• Google a confirmé et corrigé l’ensemble des failles.

Le rôle des agents GPT-5.6 Sol

Les chercheurs n’ont pas simplement posé une question à un chatbot. Ils ont dirigé des agents d’IA, c’est-à-dire des programmes capables d’enchaîner des tâches de façon autonome. Ces agents s’appuyaient sur GPT-5.6 Sol, un modèle d’OpenAI disponible publiquement.

Ce point est essentiel. Le modèle n’est pas réservé à un laboratoire ou à un État. N’importe quelle équipe suffisamment compétente peut donc l’utiliser.

Par ailleurs, le rôle des humains reste central. Les chercheurs de XBOW ont orienté les agents et valorisé leurs résultats. L’IA a accéléré le travail, mais elle n’a pas fonctionné seule.

Pourquoi cet exploit Chrome change la donne

D’abord, la barrière d’entrée baisse. Construire une chaîne complète contre Chrome relevait jusqu’ici d’une élite très restreinte. Si une IA publique permet de le faire en six jours, davantage d’acteurs pourraient s’y essayer.

Ensuite, le rythme de découverte des failles risque d’augmenter. Les défenseurs, eux aussi, peuvent exploiter ces outils. Cependant, les attaquants n’ont pas de programme de divulgation à respecter. Ils peuvent donc garder leurs trouvailles pour eux.

Enfin, l’épisode montre l’intérêt des programmes de récompense. Google a payé 250 000 dollars, son tarif maximal. Cette somme encourage les chercheurs à signaler les failles plutôt qu’à les vendre. Elle reste pourtant modeste face à la valeur potentielle d’une telle chaîne sur le marché illégal.

De plus, la rapidité du travail met la pression sur les éditeurs. Les correctifs devront eux aussi arriver plus vite. En effet, le délai entre la découverte d’une faille et son exploitation pourrait se réduire.

Ce qu’il faut retenir

• Les faits : XBOW a enchaîné trois failles inconnues de Google Chrome pour exécuter du code sous Windows via une simple page web.
• La méthode : des agents d’IA basés sur GPT-5.6 Sol, un modèle d’OpenAI public, ont permis de réaliser l’exploit en six jours.
• Le dénouement : Google a confirmé et corrigé les trois bugs, puis a versé 250 000 dollars à XBOW.
• Notre conseil : mettez Chrome à jour sans attendre et vérifiez que les mises à jour automatiques sont actives.
• Pour les entreprises : imposez un redémarrage rapide du navigateur après chaque correctif et surveillez les versions déployées.

Cette affaire rappelle une réalité simple. L’IA accélère la recherche de vulnérabilités, côté défense comme côté attaque. Par conséquent, la rapidité d’application des correctifs devient plus importante que jamais.

Source : Researchers Used a Public OpenAI Model to Build a $250,000 Chrome Full-Chain Exploit in Six Days