Yapay Zeka ile Altı Günde 250.000 Dolarlık Chrome Açığı Üretildi

Güvenlik firması XBOW'dan araştırmacılar, Google Chrome'da o güne kadar kamuoyuna duyurulmamış üç farklı güvenlik açığını tek bir saldırı zincirinde birleştirdi. Kullanıcının yalnızca bir web sayfasını açması yeterliydi; tıklama ya da indirme gerektirmeyen bu saldırı, Windows bilgisayarda kod çalıştırmayı mümkün kılıyordu. Saldırı zinciri, araştırmacı Brendan Dolan-Gavitt'in OpenAI'ın kamuya açık GPT-5.6 Sol modeliyle çalışan yapay zeka ajanlarına yol göstermesiyle altı günde inşa edildi. Google üç açığın tamamını doğruladı, yamayı yayımladı ve XBOW'a tam zincir Chrome açığı için ödediği en yüksek tutar olan 250.000 doları aktardı.

Chrome'un İki Katmanlı Koruması Nasıl Aşıldı?​

Chrome, web sayfalarından gelen kodu iki iç içe geçmiş sanal alan içinde çalıştırır. Bu katmanlar, ele geçirilmiş bir sayfanın işletim sistemine ulaşmasını engellemek için tasarlanmıştır. XBOW'un zinciri her iki katmanı da geçti. Zincirin ilk halkası, Chrome'un JavaScript motoru V8'de bulunuyordu ve saldırgana motorun belleği üzerinde denetim sağlıyordu. İkinci açık, animasyonlu WebP görüntülerini işleyen kod parçasındaydı; bu açık sayesinde motorun iç sanal alanından çıkılarak bilgisayar belleğine tek ve hassas bir yazma işlemi gerçekleştirildi. Üçüncü açık ise Chrome'un kilitlenme raporlama aracı olan ve sanal alanın dışında çalışan Crashpad'deydi. Bu son halka, söz konusu tek bellek yazma işlemini Windows üzerinde tam anlamıyla kod çalıştırmaya dönüştürdü.
Şirkete göre açıklar kapatılmadan önce Windows'ta Chrome kullanan yaklaşık bir milyar kişi bu tür bir saldırıya karşı savunmasız durumdaydı. XBOW, açıkların Chrome kullanıcılarına karşı hiçbir zaman kullanılmadığını belirtiyor.

Altı Günlük Sürecin Arka Planı​

Altı günlük süre, bağlamından koparılmamalı. XBOW bu zorluğu Ocak ayında Malta'daki bir şirket toplantısında belirledi ve ilk tam Chrome zinciri iki ayda tamamlandı. Ödüllü zincir ise Las Vegas'taki Black Hat ve DEF CON konferanslarının yapıldığı 2 Ağustos Pazar ile 7 Ağustos Cuma tarihleri arasında, yalnızca altı günde kuruldu. Süreç tamamen sorunsuz geçmedi: Zincirin dayandığı açıklardan biri, ortaya çıktığında Google'ın zaten bildiği bir açık oldu. XBOW, sistemi değiştirilebilir parçalarla ve yedeklerle inşa ettiğinden o bileşeni hızla değiştirdi ve zincir bütünlüğünü korudu. Şirketin kullanım kayıtlarına göre altı günlük çalışmanın yapay zeka maliyeti yaklaşık 40.000 dolar oldu.
Dolan-Gavitt, yapay zekanın ve insanın bu süreçteki rollerini açıkça ayırt etti. Yapay zeka ajanları Chrome'un kaynak kodunu taradı, fikirleri test etti, kavram kanıtları oluşturdu ve açığın ilk taslak sürümlerini yazdı. Araştırmacılar ise hedefleri belirledi, bağlam sağladı, ajanların sonuçlarını sorguladı ve hangi parçaların birleştirileceğine karar verdi.

Güvenlik Açıklarının Teknik Ayrıntıları ve Yamalar​

Üç açığın her biri Chrome'un farklı bir bileşeninde yer alıyordu. V8 JavaScript motorundaki birinci açık CVE-2026-85045 tanımlayıcısını taşıyor ve 3 Eylül'de yayımlanan Chrome 152.0.7977.82 sürümüyle kapatıldı. Crashpad'deki üçüncü açık CVE-2026-78952 tanımlayıcısıyla kayıtlara geçti ve 25 Ağustos'ta yayımlanan Chrome 152.0.7977.65 sürümüyle giderildi. Animasyonlu WebP kod çözücüsündeki ikinci açık için kamuya açık bir tanımlayıcı doğrulanamadı; bu açık da Chrome 152 döngüsünde kapatıldı. Tanımlanan iki açık yüksek önem derecesiyle sınıflandırılıyor. Google'ın Chrome Güvenlik Açığı Ödül Programı, 2026'da güncellenen kurallar çerçevesinde tam zincir açığı için yılda en fazla dört kez 250.000 dolara kadar ödeme yapabiliyor. XBOW, bu ödülün 2026 kuralları kapsamında verilen ilk tam zincir Chrome ödülü olduğunu ve özerk bir güvenlik şirketine tanınan ilk ödül olduğunu belirtiyor.
Chrome kendiliğinden güncelleniyor; ancak güncellemenin geçerli olması için tarayıcının yeniden başlatılması gerekiyor. Kullanıcıların Chrome sürümünün 152.0.7977.82 veya daha yeni olduğunu doğrulamaları öneriliyor.

Yapay Zekanın Siber Güvenliğe Etkisi Üzerine Uyarı​

Dolan-Gavitt, bu sonucun savunmacılar için ne anlama geldiğini doğrudan dile getirdi: "Ödeme, tam bir Chrome zinciriyken altı gün ve 40.000 dolar çok fazla zaman ya da para değil!" Araştırmacı, çıtanın artık çok daha aşağıda olduğunu vurgulayarak "Buna göre savunun" ifadesini kullandı. XBOW kurucusu Oege de Moor da benzer bir değerlendirme yaptı: "Tek bir araştırmacının daha önce aylarca süren bir zinciri üretmesi için yalnızca tahminen 40.000 dolarlık hesaplama ve altı gün yetti." Dolan-Gavitt'in karşılaştırması ise tablonun boyutunu netleştiriyor: Yapay zeka öncesi dönemde dört kişilik bir ekip aynı işi altı ila dokuz ayda tamamlıyordu; XBOW'un ilk tam Chrome zinciri iki ay sürdü, ödüllü olanı ise altı günde bitti.

Sıkça Sorulan Sorular​

XBOW'un Chrome açığı zinciri tam olarak nasıl çalışıyordu?​

Zincir üç aşamadan oluşuyordu: V8 JavaScript motorundaki açık saldırgana bellek denetimi sağladı, animasyonlu WebP kod çözücüsündeki açık bu denetimi iç sanal alandan çıkarak bilgisayar belleğine tek bir yazma işlemi yapmak için kullandı, Crashpad'deki açık ise bu yazma işlemini Chrome'un dışında Windows üzerinde tam kod çalıştırmaya dönüştürdü. Kullanıcının yalnızca bir web sayfasını açması yeterliydi.

Altı günlük süre ne kadar sürdürülebilir bir başarıma işaret ediyor?​

XBOW'a göre bu süre, bağlamıyla değerlendirilmeli. Şirket aynı zorluğu Ocak ayında belirledi ve ilk tam Chrome zinciri iki ayda tamamlandı. Ödüllü zincir ise 2 ile 7 Ağustos arasında, yani Black Hat ve DEF CON konferanslarının yapıldığı haftada altı günde inşa edildi. Yapay zeka öncesi dönemde dört kişilik bir ekip benzer bir zincir için altı ila dokuz ay harcıyordu.

Yapay zekanın bu süreçteki rolü neydi, insan araştırmacılar ne yaptı?​

Yapay zeka ajanları Chrome'un kaynak kodunu taradı, fikirleri test etti, kavram kanıtları oluşturdu ve açığın ilk taslak sürümlerini yazdı. Araştırmacılar ise hedefleri belirledi, bağlam sağladı, ajanların sonuçlarını sorguladı ve hangi bileşenlerin birleştirileceğine karar verdi. Ödüllü zinciri araştırmacı Brendan Dolan-Gavitt ajanlarla birlikte inşa etti.

Google açıkları kapatmak için ne kadar süre aldı ve kullanıcılar ne yapmalı?​

İki tanımlı açık sırasıyla 25 Ağustos'ta yayımlanan Chrome 152.0.7977.65 ve 3 Eylül'de yayımlanan Chrome 152.0.7977.82 sürümleriyle kapatıldı. WebP açığı da aynı Chrome 152 döngüsünde giderildi. Chrome otomatik güncelleme yapıyor; ancak güncellemenin etkinleşmesi için tarayıcının yeniden başlatılması gerekiyor. Kullanıcıların sürümün 152.0.7977.82 veya daha yeni olduğunu doğrulamaları öneriliyor.

XBOW'un aldığı 250.000 dolarlık ödül hakkında ne biliniyor?​

Google'ın Chrome Güvenlik Açığı Ödül Programı, 2026'da güncellenen kurallar kapsamında tam zincir açığı için yılda en fazla dört kez 250.000 dolara kadar ödeme yapabiliyor. XBOW bu ödülün 2026 kuralları çerçevesinde verilen ilk tam zincir Chrome ödülü olduğunu ve özerk bir güvenlik şirketine tanınan ilk ödül olduğunu belirtiyor.