XBOW: KI-Agenten bauen Chrome-Exploit in sechs Tagen

Drei damals unbekannte Schwachstellen in Google Chrome, zu einer Kette verbunden, bringen den Code einer Webseite aus dem Browser heraus bis auf Windows. Der Nutzer muss die Seite nur laden. Er muss weder klicken noch etwas herunterladen.

Das Team von XBOW hat diese Kette in sechs Tagen gebaut, mit KI-Agenten auf Basis von GPT-5.6 Sol, einem öffentlich verfügbaren Modell von OpenAI. Google hat die drei Bugs bestätigt und behoben und XBOW die Höchstprämie von 250.000 Dollar gezahlt, wie The Hacker News berichtet^[1].

XBOW zufolge wurden die drei Lücken bei keinem realen Angriff auf Chrome-Nutzer ausgenutzt.

Ein Sechs-Tage-Sprint nach monatelanger Vorarbeit

Die prämierte Kette entstand zwischen Sonntag, dem 2. August, und Freitag, dem 7. August, während Black Hat und DEF CON in Las Vegas. Die Vorgeschichte reicht weiter zurück: Ausgerufen hatte XBOW die Challenge im Januar bei einem internen Treffen auf Malta.

Für die erste Full Chain auf Chrome brauchte das Team noch zwei Monate.

Brendan Dolan-Gavitt hat die prämierte Kette zusammen mit den Agenten gebaut. Vor der Zeit der LLMs brauchte ein Team aus vier Leuten dafür nach seiner Einschätzung etwa sechs bis neun Monate. Die erste Einreichung von XBOW dauerte zwei Monate, die prämierte sechs Tage.

XBOW hat die eigenen Nutzungslogs ausgewertet: Demnach kosteten die sechs Tage rund 40.000 Dollar an KI-Ausgaben.

Zwei Sandboxes überwunden, ein Baustein im laufenden Betrieb ersetzt

Chrome führt den Code von Webseiten in zwei verschachtelten Sandboxes aus. Eine Sandbox ist eine Barriere, die eine kompromittierte Seite vom Rest des Systems abschottet. Die Kette überwindet beide.

Jeder der drei Bugs sitzt in einer anderen Komponente des Browsers. Die Release Notes von Google schreiben zwei davon Dolan-Gavitt zu.

Eine Version der Kette wäre beinahe gescheitert.

Einer der verwendeten Bugs war Google bereits bekannt. Weil XBOW den Exploit modular mit fertigen Ersatzteilen aufgebaut hatte, konnte das Team diesen Baustein austauschen.

Der Bericht von XBOW Labs^[2] teilt die Arbeit in zwei Rollen auf.

• Agenten: durchsuchen den Chrome-Quellcode, prüfen Hypothesen, bauen Proofs of Concept und schreiben erste Entwürfe des Exploits.
• Forscher: wählen die Angriffsziele, liefern Kontext, hinterfragen die Ergebnisse der Agenten und entscheiden, welche Bausteine kombiniert werden.

Zwei der drei Bugs haben eine öffentliche Kennung. Google hat sie am 25. August in Chrome 152.0.7977.65 und am 3. September in 152.0.7977.82 geschlossen.

Chrome aktualisiert sich automatisch. Der Fix greift aber erst nach einem Neustart des Browsers.

Der Engpass war die Zeit der Experten

Bisher bemaß sich der Preis einer Full Chain auf Chrome in Monaten Arbeit weniger Spezialisten.

XBOW kam hier ohne proprietäres Modell aus und ohne ein vierköpfiges Team, das monatelang daran sitzt. Die angegebenen KI-Ausgaben liegen bei weniger als einem Sechstel der Prämie, die Google gezahlt hat.

Das von XBOW eingesetzte Modell steht jedem offen, der für den Zugang bezahlt. Knapp bleibt ein Forscher, der es zu steuern weiß. Das menschliche Urteilsvermögen ist heute der eigentliche Flaschenhals.

Drei Fragen für alle, die Browser im Unternehmen absichern

1. Wie viele Tage vergehen zwischen einem Chrome-Patch und dem tatsächlichen Neustart auf allen Ihren Rechnern?
2. Rechnet Ihr Risikomodell beim Bau einer Full Chain auf einen Browser noch in Monaten?
3. Setzen Ihre Security-Dienstleister vergleichbare Agenten gegen Ihre Software ein? Und wer prüft deren Ergebnisse?

Was in diesem Quartal zu tun ist

• Chrome auf allen Arbeitsplätzen neu starten und Version 152.0.7977.82 oder neuer verifizieren.
• Nach jedem Browser-Patch eine Frist für den Neustart festlegen und vom Anbieter des Endpoint-Managements einen Compliance-Report einfordern.
• Den Incident-Response-Plan auf Entwicklungszeiten für Exploits anpassen, die in Tagen gemessen werden.
• In Verträgen für Penetrationstests klären, welche KI-Agenten der Dienstleister einsetzt und wie er die menschliche Kontrolle dokumentiert.

Mit der Prämie von Google ist dieser Fall durch einen Fix abgeschlossen. Die Methode steht anderen Gruppen mit demselben öffentlichen Modell aber weiterhin offen.