OpenAIの公開モデルを活用したAIエージェント、Chromeのフルチェーン攻撃を6日間で構築——報奨金25万ドルを獲得

要点

• セキュリティ企業XBOWの研究者が、OpenAIの公開モデル「GPT-5.6 Sol」で動作するAIエージェントを指揮し、Google Chromeの多層防御を突破するフルチェーン攻撃をわずか6日間で構築した。

• 3つの未知の脆弱性を連鎖させることで、Webページを読み込むだけで追加操作なくWindows上でコードを実行させるゼロクリック攻撃を実証した。

• 開発にかかったAIの利用料金は約4万ドルで、従来4人のチームで6〜9カ月を要していた作業を1人の研究者が大幅に短縮した。

• Googleは3つのバグをすべて確認・修正済みであり、脆弱性報奨金プログラムの最高額となる25万ドルをXBOWに支払った。

• セキュリティ企業のXBOWは、OpenAIの公開AIモデル「GPT-5.6 Sol」で動作するAIエージェントを活用し、Google Chromeの防御機構を完全に無力化するフルチェーン攻撃を6日間で構築したことを発表した。この攻撃はWebページを読み込むだけでWindows環境上で任意のコードを実行させるもので、修正前には推定10億人のユーザーがリスクに晒されていたという。Googleは報告された3つの脆弱性を確認して修正パッチを配布し、同社の脆弱性報奨金プログラムにおける最高額となる25万ドルをXBOWへ授与した。

わずか6日間・費用4万ドルで完成した攻撃チェーン

今回の攻撃コードは、2026年8月2日から7日にかけて米ラスベガスで開催されたセキュリティカンファレンス「Black Hat」および「DEF CON」の会期中に集中的に構築された。XBOWは同年1月の社内会議でこの課題を設定し、最初のフルチェーン構築には2カ月を要していたが、今回の報奨金対象となったチェーンは6日間という短期間で完成に至った。

開発の途中で、前提としていた脆弱性の1つがGoogleに既知のものと判明して失敗しかける場面もあったが、交換可能なモジュール構造として予備のパーツを用意していたため、差し替えることでチェーンの成立を維持した。同社の利用ログによると、この6日間のスプリントで発生したAIの計算コストは約4万ドルであったと説明されている。

明確に分担されたAIと人間の役割

XBOWは、今回の実証においてAIエージェントが担当した領域と人間の研究者が担った領域を明確に区別している。AIエージェントは、Chromeのソースコード全体の探索、攻撃アイデアの検証、概念実証（PoC：脆弱性の悪用可能性を証明する簡易コード）の作成、そして攻撃コードの初稿の執筆を担当した。

一方の人間の研究者は、標的の選定、文脈情報の提供、AIが出力した結果に対する検証や反証、そして最終的にどのパーツを結合するかの判断を担った。実際にエージェントと共にチェーンを構築した研究者のブレンダン・ドーラン＝ガビット（Brendan Dolan-Gavitt）氏は、大規模言語モデル（LLM）登場前は4人のチームで6〜9カ月かかっていた作業が、今回の試みでは6日間に短縮されたと述べている。

3つの脆弱性を連携させた多層サンドボックスの突破

Chromeは通常、Webページのコードを2重の入れ子状になったサンドボックス（外部システムへの影響を防ぐ隔離環境）内で実行し、悪意あるコードが端末本体に到達するのを防いでいる。今回の攻撃は「フルチェーン（複数の脆弱性を連結させて防御層を無力化する手法）」であり、2つの境界をすべて突破して、ユーザーのクリックやダウンロードを必要とせずにWindows上でコードを実行させた。

攻撃にはChrome内の異なるコンポーネントに存在する3つの脆弱性が用いられた。

• JavaScriptエンジン「V8」（CVE-2026-85045）: メモリ制御権を奪取する（9月3日の152.0.7977.82で修正）。
• アニメーションWebP画像デコーダー（公開識別子は未確定）: 第1段階の制御を利用して内側のサンドボックスを脱出し、端末のメモリへ正確に1回の書き込みを行う（Chrome 152サイクルで修正）。
• クラッシュハンドラー「Crashpad」（CVE-2026-78952）: サンドボックス外で動作する仕組みを突き、単一のメモリ書き込みを完全なコード実行へと発展させる（8月25日の152.0.7977.65で修正）。

識別子が付与されている2つの脆弱性はいずれも深刻度「High（高）」と評価されている。なお、WebPの脆弱性についてXBOWの発表資料でV8と同じCVE識別子が記載されていたが、Googleおよび技術解説書ではV8側の識別子として定義されている。

Googleによる修正と最高額25万ドルの報奨金

Googleは報告されたすべての脆弱性を修正済みであり、一般ユーザーに対して悪用された形跡はないとXBOWは説明している。Chromeの更新は自動で行われるが、修正を反映させるにはブラウザの再起動が必要となるため、バージョンが152.0.7977.82以降になっているか確認することが推奨される。

GoogleのChrome脆弱性報奨金プログラム（VRP）では、2026年に改定された規定に基づき、フルチェーン攻撃に対して年間最大4件まで、最高25万ドルを支払っている。XBOWによる今回の獲得は、2026年の新ルール下で初、かつ自律型セキュリティ企業としても初の受賞となった。

攻撃構築の低コスト化と防御側への警鐘

XBOWの創業者であるオエゲ・デ・モール（Oege de Moor）氏は、「かつては何カ月も要した攻撃チェーンの構築が、推定4万ドルの計算コストとわずか6日間、しかも1人の研究者によって達成された」と述べ、作成スピードの急激な加速を強調した。

また、チェーンを構築したドーラン＝ガビット氏は、Chromeの完全な攻撃チェーンが得られる成果に対して「6日間と4万ドルは決して大きな時間や金額ではない」と指摘した。同氏は攻撃側の参入障壁が大幅に下がった現実を踏まえ、防御側に対して「それに見合った備えをすべきだ（Defend accordingly）」と警鐘を鳴らしている。