XBOW reveló el 13 de octubre que un equipo de cuatro investigadores, apoyado por agentes basados en el modelo público GPT-5.6 Sol de OpenAI y versiones anteriores, construyó en seis días una cadena de explotación contra Chrome para Windows. La investigación obtuvo una recompensa de $250,000 de Google a comienzos de este año; las vulnerabilidades fueron corregidas antes de que XBOW publicara los detalles. [1]

Una cadena completa combina varias fallas para atravesar defensas que normalmente limitan el daño de un error aislado. En este caso, XBOW afirma que tres vulnerabilidades permitían pasar de una página web preparada por un atacante a la ejecución de código fuera de las barreras de seguridad del navegador y, finalmente, al control del sistema Windows. La compañía estima que la superficie potencial alcanzaba a más de mil millones de usuarios, una cifra propia basada en el alcance de Chrome, no un conteo de equipos comprometidos. No hay evidencia presentada de explotación activa contra usuarios.

El aspecto novedoso no es que una IA haya actuado sola. Según el relato técnico de XBOW, los agentes buscaron en el código fuente de Chrome, probaron hipótesis, construyeron pruebas de concepto y redactaron versiones iniciales del exploit. Los investigadores humanos fijaron la estrategia, seleccionaron áreas de búsqueda, revisaron resultados y redirigieron el trabajo. La empresa calcula que consumió aproximadamente $40,000 en cómputo durante los seis días para la cadena premiada. [1]

Esa división del trabajo importa para interpretar el resultado. El experimento demuestra una aceleración concreta dentro de un proceso dirigido por especialistas, no un sistema autónomo que descubrió y validó todo sin supervisión. También se realizó con un presupuesto considerable y contra un objetivo elegido deliberadamente. Por eso, el resultado no permite concluir que cualquier agente o cualquier organización pueda reproducir el mismo rendimiento.

Una parte de la cadena cuenta con corroboración pública independiente del anuncio. La National Vulnerability Database describe CVE-2026-85045 como una condición de carrera en V8 que permitía a un atacante remoto ejecutar código arbitrario dentro del sandbox mediante una página HTML especialmente preparada. NVD la clasifica como de severidad alta e indica que afectaba versiones de Chrome anteriores a 152.0.7977.82. [2] La entrada remite al aviso oficial de Google para la actualización estable de escritorio publicada el 3 de septiembre. [3]

La información pública no equivale a una reproducción independiente de la cadena completa. XBOW es la fuente primaria para el plazo de seis días, el costo de cómputo, la composición del equipo, la recompensa y el papel exacto de los agentes. NVD y Google corroboran la existencia y corrección de al menos una de las vulnerabilidades asociadas, pero no validan por sí solos todas las afirmaciones operativas del experimento.

Para los usuarios, la acción inmediata es sencilla: actualizar Chrome y reiniciar el navegador para que la versión corregida quede activa. XBOW señala que los tres errores ya fueron reparados. Publicar detalles después de los parches reduce el riesgo, aunque no elimina la posibilidad de que otros estudien las fallas una vez divulgadas.

El hallazgo cambia la economía de la investigación ofensiva más que la naturaleza básica del riesgo. Los agentes pueden ampliar cuántas hipótesis examina un equipo y acelerar tareas de lectura, prueba y documentación. A la vez, esa capacidad puede beneficiar a defensores y atacantes. La señal más importante es que la supervisión humana, la divulgación coordinada y la velocidad de actualización serán más decisivas a medida que herramientas disponibles públicamente reduzcan el tiempo necesario para ensamblar cadenas complejas.

Fuentes

[1] Leer Más — XBOW Built a Chrome Full-Chain Exploit Affecting a Billion Users in Six Days
[2] Leer Más — NVD — CVE-2026-85045
[3] Leer Más — Chrome Stable Channel Update for Desktop — September 3, 2026