XBOW e GPT-5.6: l’exploit completo di Chrome che vale 250.000 dollari

Sei giorni, circa 40.000 dollari di token e un modello OpenAI che chiunque può usare pagando un abbonamento: è bastato questo a XBOW, una startup di sicurezza offensiva basata sull’intelligenza artificiale, per costruire una catena completa di exploit contro Google Chrome. Google ha corretto le falle e ha riconosciuto il premio massimo di 250.000 dollari. La notizia, resa pubblica il 13 ottobre, è uno dei segnali più chiari di come l’AI stia cambiando il lavoro di chi attacca e di chi difende.

Vediamo cosa è successo davvero, come funziona la catena di vulnerabilità e perché la parte più interessante non è la cifra del premio.

Cosa ha fatto XBOW con GPT-5.6 su Chrome

Secondo il resoconto pubblicato da XBOW, il lavoro è stato svolto tra il 2 e il 7 agosto da Brendan Dolan-Gavitt, ricercatore dell’azienda, insieme ad agenti AI basati sul modello GPT-5.6 Sol di OpenAI. L’obiettivo era una full chain, cioè una sequenza di bug concatenati che porta da una semplice pagina web fino all’esecuzione di codice sul computer della vittima, uscendo dalle protezioni di Chrome.

La sfida era stata lanciata a inizio 2026 dal CEO Oege de Moor. Il risultato è stato presentato alla conferenza Black Hat di Las Vegas ad agosto, e circa un mese dopo Google ha confermato la scoperta. Il costo complessivo, secondo Forbes, è stato di circa 40.000 dollari in token, una somma che per un’operazione di questo livello è poca cosa.

Le tre falle concatenate

La catena sfrutta tre vulnerabilità diverse, ciascuna con un compito preciso. La prima riguarda V8, il motore JavaScript di Chrome, in particolare il compilatore ottimizzante Maglev, e permette di ottenere accesso alla memoria dentro la sandbox del motore. La seconda è un difetto nel decoder delle immagini WebP animate e consente di attraversare il confine della sandbox di V8.

La terza colpisce Crashpad, il componente che gestisce i crash di Chrome e che gira fuori dalla sandbox del renderer. È l’anello finale: da lì si arriva a eseguire codice sul sistema. Come dimostrazione, la proof of concept ha aperto la Calcolatrice di Windows partendo da una pagina web in Chrome Beta.

In uno scenario reale, un attaccante avrebbe potuto portare la vittima su una pagina malevola e, da lì, accedere a file e credenziali o installare malware. Google ha corretto tutte e tre le falle, e dai registri pubblici risulta che un ingegnere dell’azienda ha riprodotto la catena prima di approvare il pagamento, il 31 agosto.

Quanto è stato davvero autonomo l’agente

Il titolo più facile da scrivere sarebbe che l’AI ha hackerato Chrome da sola. I fatti raccontano una storia più sfumata. Gli agenti hanno cercato nel codice, formulato ipotesi, scritto proof of concept e abbozzato i componenti dell’exploit, ma i ricercatori hanno scelto i bersagli, verificato i risultati e corretto la rotta quando serviva. Forbes riporta che Dolan-Gavitt non ha scritto l’exploit a mano: ha collaborato con il modello, chiedendogli di trovare modi per aggirare le protezioni del browser.

Un dettaglio operativo racconta bene il metodo. Il team ha costruito fasi intercambiabili, con vulnerabilità di riserva pronte per ogni anello della catena, così da poter sostituire un componente quando un bug veniva segnalato da altri. È una logica da industria, non da colpo di genio isolato.

Resta aperta una previsione di XBOW, secondo cui gli agenti potrebbero trovare da soli bug simili entro un anno. Per ora è solo una previsione e va trattata come tale. Quello che è dimostrato è un’altra cosa: un operatore competente, con un modello commerciale e un budget da startup, ha ottenuto in una settimana un risultato che fino a poco tempo fa richiedeva squadre esperte e mesi di lavoro.

Perché questa notizia conta per la sicurezza

La prima lezione riguarda l’economia dell’attacco. Il premio di Google, 250.000 dollari, è il massimo previsto dal programma, ma un broker come Crowdfense pubblicizza compensi fino a 1,5 milioni di dollari per catene di exploit su Chrome desktop, circa sei volte tanto. Se il costo di produzione scende a 40.000 dollari, la differenza tra il prezzo di mercato e il costo di sviluppo diventa un incentivo enorme per chi non si ferma davanti alla legge.

Lo ha detto con franchezza lo stesso de Moor, secondo Forbes: i malintenzionati possono fare queste cose molto più facilmente di prima, e i difensori devono correggere il più possibile.

La seconda lezione è che il modello usato non è un prototipo riservato. Si tratta di un modello disponibile a qualunque cliente pagante. Questo sposta il discorso dalla rarità della capacità alla sua diffusione, e ricorda perché OpenAI abbia costruito percorsi dedicati ai difensori, come abbiamo raccontato parlando di GPT-5.6-Cyber e dei livelli Blue e Red di Daybreak.

Difensori e attaccanti usano gli stessi strumenti

Lo stesso salto di capacità sta mettendo sotto pressione l’intero ecosistema delle segnalazioni. Anthropic ha lanciato un programma per proteggere le infrastrutture critiche, descritto nel nostro articolo sulla Cyber Mission di Anthropic e sullo scanner open source gratuito, mentre Google ha dovuto sospendere un programma di ricompense per il software open source travolto da segnalazioni generate con l’AI, come abbiamo visto con la sospensione dell’OSS VRP di Google.

Il caso XBOW mostra l’altra faccia della stessa medaglia: qui il flusso di lavoro con l’AI ha prodotto un risultato di alta qualità, verificato e premiato. Non tutto ciò che nasce da un modello è rumore, e non tutto è oro.

Che cosa cambia nel concreto

Per chi sviluppa software, il messaggio è che il tempo tra la scoperta di una vulnerabilità e il suo sfruttamento si sta accorciando. Le priorità sono la rapidità delle patch, la riduzione della superficie d’attacco e la difesa a più livelli, perché una catena come questa funziona proprio quando ogni barriera cede una dopo l’altra. Un componente fuori dalla sandbox, come Crashpad in questo caso, può diventare l’anello debole anche in un sistema ben progettato.

Per chi usa Chrome, l’indicazione è semplice e concreta: installa gli aggiornamenti disponibili e riavvia il browser, perché una correzione scaricata ma non applicata non protegge nessuno.

Per le aziende, il tema è organizzativo. Se un team piccolo può costruire un exploit completo con una spesa contenuta, i modelli di minaccia basati sull’idea che certe catene siano troppo costose da produrre vanno rivisti. Conviene anche valutare strumenti di analisi assistiti dall’AI sul proprio codice, prima che lo faccia qualcun altro.

C’è infine una questione di regole. I programmi di bug bounty nascono per premiare chi segnala in modo responsabile, e il caso XBOW dimostra che il meccanismo regge anche con agenti AI nel mezzo. Ma volumi, qualità delle segnalazioni e criteri di valutazione dovranno adattarsi a un mondo in cui produrre un exploit costa meno di una settimana di lavoro.

Conclusioni

Il premio da 250.000 dollari è la parte che fa titolo, ma la sostanza è un’altra: l’AI generalista, quella che puoi usare anche tu, ha raggiunto un livello in cui può accelerare in modo decisivo la ricerca di vulnerabilità complesse, con l’uomo che guida e verifica. Per i difensori è una buona e una cattiva notizia insieme, perché gli strumenti per trovare le falle sono gli stessi per tutti.

Se ti occupi di sicurezza o di sviluppo, il momento di aggiornare processi, patch e controlli è adesso. E se vuoi seguire questi temi, continua a leggere le nostre news sulla sicurezza dell’AI: ne parleremo ancora nei prossimi giorni.