Компанія XBOW отримала $250 000 від програми винагород за вразливості Google Chrome. Про це XBOW повідомила 13 жовтня. Повний ланцюжок експлойту для браузера вдалося зібрати за шість днів, тоді як раніше на це йшли місяці.
Дослідник XBOW Брендан Долан-Гевітт у технічному звіті порівняв терміни: до появи великих мовних моделей повний ланцюжок для Chrome команда з чотирьох фахівців робила б приблизно шість-дев'ять місяців. Перша заявка XBOW на цю вразливість зайняла два місяці. Нагороджений варіант — шість днів.
Йдеться про повний ланцюжок експлойту, тобто послідовність кроків, яка дозволяє використати кілька вразливостей разом для досягнення контролю над браузером. Саме такі ланцюжки Google оцінює найдорожче у своїй програмі bug bounty, бо вони найнебезпечніші для користувачів.
XBOW — компанія з кібербезпеки, яка будує автономні системи для пошуку вразливостей. У цьому випадку, за повідомленням, використовувалася модель GPT-5.6 Sol. Точні деталі конфігурації та роль моделі в процесі компанія розкрила в технічному звіті, але сам факт залишається показовим: ШІ-агент виконав роботу, яка донедавна вимагала команди досвідчених дослідників безпеки та місяців часу.
Для українських продуктових команд і розробників це сигнал про зміну економіки кібербезпеки. Пошук вразливостей стає швидшим і дешевшим, а отже, і захисні команди, і зловмисники отримують потужніший інструмент. Компаніям варто переглянути процеси безпеки: регулярні аудити, автоматизоване тестування та швидке оновлення залежностей стають не опцією, а базовою гігієною.
Окремо варто звернути увагу на ринок bug bounty. Якщо ШІ-агенти здатні швидко генерувати складні ланцюжки експлойтів, конкуренція за винагороди зростатиме, а програми винагород муситимуть адаптувати правила, щоб відрізняти автоматизовані звіти від ручної роботи. Для дослідників це означає, що цінність зміщується від рутинного пошуку до глибокого розуміння архітектури та вміння керувати ШІ-інструментами.
Для українських стартапів у сфері кібербезпеки це також можливість: локальні команди можуть будувати сервіси автоматизованого пентесту та аудиту коду на базі ШІ, орієнтуючись на малий і середній бізнес, який не може дозволити собі повноцінний штат безпекових фахівців. Головне — не покладатися на ШІ сліпо, а поєднувати його швидкість із людською перевіркою.