Avec une IA accessible à tous, une petite équipe a piraté Chrome en 6 jours
La société de cybersécurité XBOW a trouvé 3 failles inconnues dans le navigateur de Google et les a combinées pour prendre la main sur un ordinateur Windows. Il a suffi d’environ 40 000 dollars de calcul et d’un modèle public d’OpenAI.
Le scénario est celui que redoutent tous les responsables informatiques : il suffisait d’ouvrir une page web, sans cliquer ni télécharger quoi que ce soit, pour qu’un pirate puisse faire tourner son propre programme sur l’ordinateur. Pour y arriver, XBOW a enchaîné 3 failles (des erreurs dans le code qui ouvrent une porte) situées dans 3 parties différentes de Chrome.
Le travail a été mené du 2 au 7 août par des agents IA (des IA qui enchaînent seules les étapes d’une tâche) qui utilisaient GPT-5.6 Sol, un modèle d’OpenAI que n’importe quelle entreprise peut louer. Un seul chercheur choisissait les cibles et vérifiait les résultats ; l’IA lisait le code, testait des pistes et écrivait l’attaque. Avant l’IA, selon l’entreprise, une équipe de 4 personnes mettait 6 à 9 mois pour obtenir le même résultat.
Google a confirmé et corrigé les 3 failles, puis versé à XBOW sa récompense maximale : 250 000 dollars. Aucun utilisateur n’a été attaqué. Mais le message est clair : une attaque de ce niveau, réservée hier à quelques équipes d’élite, coûte désormais le prix d’une voiture et une semaine de travail.