في تطور أمني لافت، كشف باحثون من شركة Xbow الناشئة عن استغلال كامل لسلسلة من ثلاث ثغرات صفرية (zero-day vulnerabilities) في متصفح Chrome. استخدم الفريق نموذج GPT-5.6 Sol من OpenAI للمساعدة في بناء هذا الاستغلال، الذي يمكنه تنفيذ تعليمات برمجية خارج بيئة Sandbox الخاصة بالمتصفح على أجهزة Windows، مما قد يؤثر على ما يقرب من مليار مستخدم حول العالم.
أكدت Google إصلاح جميع الثغرات الثلاث، وقامت بدفع مكافأة قدرها 250,000 دولار لفريق Xbow، وهي أعلى مكافأة تقدمها لعمليات استغلال Chrome كاملة السلسلة. يُعد هذا إنجازاً مذهلاً بالنظر إلى أن الفريق، المكون من Brendan Dolan-Gavitt، Andres Luksenberg، Baul Lee، وWillem Pinckaers، قضى ستة أيام فقط في اكتشاف الثغرات وبناء سلسلة الهجوم، بتكلفة تقدر بـ 40,000 دولار لرسوم استخدام الرموز (token charges) الخاصة بنموذج الذكاء الاصطناعي.
كيف تم الاستغلال؟
توضح Xbow أن سرعة الاكتشاف، التي كانت تستغرق ستة أشهر لفرق الاستخبارات في السابق، تبرهن على الكفاءة الكبيرة التي يضيفها الذكاء الاصطناعي. اعتمد الاستغلال على تعاون وثيق بين البشر ووكلاء الذكاء الاصطناعي؛ حيث قامت نماذج الذكاء الاصطناعي بمهام مثل البحث في الشيفرة المصدرية واختبار الفرضيات وتطوير نماذج إثبات المفهوم، بينما ركز الباحثون على اختيار الأهداف وتوفير السياق وتحدي النتائج واتخاذ القرارات بشأن ربط مكونات الهجوم.
تتكون سلسلة الهجوم من ثلاث ثغرات رئيسية: الأولى هي خطأ في مترجم Maglev الخاص بمحرك V8 JavaScript، والذي يمنح المهاجمين وصولاً للقراءة والكتابة عبر «قفص ضغط المؤشر» في V8. والثانية هي خطأ في فك تشفير animated-WebP يسمح بالهروب من بيئة Sandbox الخاصة بـV8. أما الثغرة الثالثة والأخيرة، فهي خطأ في سلامة الذاكرة داخل Crashpad، والذي استُغل لتجاوز حدود Sandbox الخارجية وتنفيذ التعليمات البرمجية غير المقيدة على الجهاز المضيف.
ما الذي يعنيه هذا للمطورين؟
بالرغم من أن Google قامت بتصحيح هذه المشكلات الأمنية، وأن Chrome يقوم بتثبيت التحديثات تلقائياً، فإن الإصلاح لا يدخل حيز التنفيذ إلا بعد إعادة تشغيل المتصفح. لذلك، إذا كنت تستخدم Chrome، تأكد من أنك تشغل الإصدار 152.0.7977.82 أو أحدث لحماية نفسك.
نرى أن هذا الإنجاز يرسل رسالة واضحة للمطورين ومحترفي الأمن السيبراني: أن «العقبة أصبحت أقل بكثير» للمهاجمين الذين يستفيدون من نماذج اللغات الكبيرة (LLMs). التكلفة والوقت الذي استغرقه تحقيق استغلال كامل لسلسلة Chrome يوضحان كفاءة الذكاء الاصطناعي في اكتشاف الثغرات. يجب على المطورين أن يكونوا أكثر يقظة في الدفاع، وأن يفكروا في كيفية دمج أدوات الذكاء الاصطناعي ليس فقط في عمليات الهجوم ولكن أيضاً في تعزيز استراتيجياتهم الدفاعية واختبار أمان تطبيقاتهم بفاعلية أكبر. المكافأة البالغة 250,000 دولار أمريكي تعادل تقريباً 937,500 ريال سعودي أو 917,500 درهم إماراتي.
المصدر: theregister.com