Xbow: ИИ-модель за $40 тыс. связала уязвимости в Google Chrome

Что произошло

Компания Xbow использовала публично доступную модель OpenAI GPT-5.6 Sol, чтобы связать несколько уязвимостей в браузере Google Chrome в единую цепочку атаки. По данным Computerworld, вычисления обошлись примерно в 40 000 долларов, а за найденные уязвимости Google выплатил вознаграждение в размере 250 000 долларов.

Эпизод важен не только масштабом находки. Он показывает, что ИИ-модель общего назначения, доступная любой организации через обычный API, может выполнять работу, которая раньше требовала узкой экспертизы в области безопасности и длительного ручного анализа. Сообщение о случае распространилось под заголовком, который делает акцент на масштабе воздействия на Chrome. Однако исходные материалы в первую очередь описывают стоимость работы и размер вознаграждения, а не подробности самих уязвимостей.

Из доступных материалов не ясно, как именно была организована выплата и на каких условиях проходила работа с Google. Эти детали стоит уточнять по первоисточнику.

Почему это важно

Для руководителей, отвечающих за цифровые продукты и ИИ, главный вывод касается экономики. Поиск сложных уязвимостей, который раньше был дорогим и медленным, теперь можно оценить в понятных затратах на вычисления. Это меняет расчёт для тех, кто защищает собственные сервисы: если атаку можно автоматизировать за несколько десятков тысяч долларов, то привычные сроки проверок и периодичность аудитов могут перестать соответствовать реальности.

Кроме того, случай показывает, что возможности ИИ в области безопасности быстро доходят до уровня практического применения. Организациям стоит пересмотреть не только свои технические средства защиты, но и процессы: как быстро они получают сигналы о уязвимостях, как устроено взаимодействие с исследователями и как внутренние команды оценивают риски, которые теперь могут быть найдены заметно дешевле.

По цифрам

• 40 000 долларов — примерная стоимость вычислений, затраченных Xbow на поиск и связывание уязвимостей в Chrome.
• 250 000 долларов — размер вознаграждения, которое Google выплатил по результатам работы.
• GPT-5.6 Sol — публично доступная модель OpenAI, использованная в работе.

Позиция Renascence

Большинство читателей, скорее всего, увидят в этой истории сенсацию про взлом браузера. Нам интереснее другое: соотношение цены и результата. Когда проверка уровня эксперта становится вопросом бюджета на вычисления, поведенческая экономика работает против тех, кто полагается на редкость компетенций как на защиту. Любой сервис, который строится на предположении, что «хакеры дороги», должен пересмотреть эту посылку.

Главный урок здесь не в том, что Chrome уязвим, а в том, что стоимость поиска уязвимостей упала быстрее, чем мы успели перестроить процессы. Клиентоориентированный оператор должен относиться к безопасности как к части пользовательского опыта: сокращать время между обнаружением и исправлением, прозрачно общаться с пользователями и поддерживать программы вознаграждения за находки. Если ваши внутренние проверки проходят раз в квартал, а ИИ способен провести аналогичный анализ за выходные, вы уже проигрываете в скорости. Начните с аудита того, какие сценарии вашего цифрового продукта можно было бы автоматически проверить сегодня.