XBOW: exploit de Chrome con IA en 6 días y US$250K

XBOW convirtió una pestaña de Chrome en una calculadora: el primer exploit de la era LLM

Una página web abierta en una versión firmada de Chrome Beta logró abrir la calculadora del sistema, es decir, ejecutar código fuera del sandbox del navegador. Google pagó US$250.000 por esa cadena completa, el primer premio de ese tamaño bajo las reglas del programa de recompensas por vulnerabilidades (VRP) que introdujo en abril de 2026.

Lo que debería quitar el sueño a cualquier equipo de producto no es la calculadora. Es el calendario: XBOW construyó la cadena completa en seis días.

Qué construyó XBOW, en tres etapas

La investigación de XBOW describe tres vulnerabilidades encadenadas, cada una diseñada para cruzar una frontera distinta del navegador.

Etapa 1 — el motor de JavaScript. El bug estaba en Maglev, el compilador optimizador de V8. Durante la desoptimización, Maglev reutilizaba un número mutable (un HeapNumber) como si fuera una constante inmutable. Eso permitía que distintos objetos JavaScript compartieran el mismo número mutable, violando un invariante del compilador. El exploit lo aprovechó contra Array.prototype.at(): una observación del compilador veía un índice seguro y aprobaba un acceso dentro de límites, mientras otra observación del mismo valor aportaba el offset real de la carga. Resultado: lectura y escritura en toda la jaula de compresión de punteros de V8, los 4 GiB reservados.

Etapa 2 — la fuga del sandbox de V8. En lugar de atacar el sandbox, XBOW buscó propiedades que el sandbox deliberadamente no protege. WebCodecs puede transferir un ArrayBuffer a ImageDecoder; bajo la semántica normal de JavaScript, la transferencia desconecta el buffer original. Pero el sandbox de V8 asume que un atacante dentro de la jaula puede corromper objetos. El exploit usó la escritura de la etapa 1 para sacar una vista Uint8Array viva de la cadena de notificación de desconexión. Blink creía tener los bytes en exclusiva; el atacante seguía pudiéndolos cambiar. Eso derivó en una vulnerabilidad TOCTOU (time of check / time of use) en el decodificador de WebP animado: geometría cacheada de un archivo, bytes de otro. El resultado fue una escritura nativa elegida fuera de la jaula.

Etapa 3 — la fuga del sandbox del renderer. El handler de Crashpad corre fuera del sandbox del renderer. Cuando recibe una petición de snapshot, suspende el renderer y lee sus estructuras de memoria. Su helper ProcessMemoryWin::ReadUpTo() interpretaba un fallo de lectura como evidencia de que la petición cruzaba una frontera de página, y reintentaba leyendo hasta el final de la página. El exploit creó un hilo con el flag THREAD_CREATE_FLAGS_BYPASS_PROCESS_FREEZE, que sigue corriendo aunque el proceso esté suspendido, y alternó los permisos de página entre inaccesible y legible. Crashpad copió más datos de los que su llamador había pedido y sobreescribió una estructura viva. El resultado: ejecución de código en el handler sin sandbox y, finalmente, cmd /k calc.exe vía CreateProcessW.

De 6-9 meses a 6 días

El contraste es el verdadero titular. Antes de los LLM, producir una cadena completa de Chrome le tomaba a un equipo de cuatro personas entre 6 y 9 meses. La primera presentación de XBOW tardó 2 meses. La premiada: seis días, del domingo 2 de agosto al viernes 7 de agosto.

El trabajo no fue un solo agente haciendo todo. XBOW dividió la tarea en campañas paralelas con objetivos acotados: búsqueda amplia de vulnerabilidades, corrupción de memoria en V8, fuga del sandbox de V8, fuga del sandbox del renderer e integración. Los agentes, usando el modelo gpt-5.6-sol de OpenAI, buscaban código fuente, probaban hipótesis y construían pruebas de concepto, mientras los investigadores humanos elegían objetivos, aportaban contexto y decidían qué componentes unir.

El costo reconstruido desde los logs de Codex: unos US$40.000 en cargos de API.

Por qué esto importa más allá de Chrome

XBOW no es un laboratorio aislado. La compañía levantó una Serie B de US$75 millones liderada por Altimeter en marzo de 2026, según su propio blog, lo que eleva su financiación total a US$117 millones. En junio de 2025 se convirtió en el primer sistema autónomo en alcanzar el puesto #1 del ranking de HackerOne en Estados Unidos, por encima de todos los participantes humanos.

El fenómeno es sistémico. Según el Google Threat Intelligence Group (GTIG), las vulnerabilidades divulgadas por mes se duplicaron, de 5.045 en enero de 2026 a 10.740 en agosto de 2026. Y las que descubre la IA tienen un perfil más peligroso: el 50% de las vulnerabilidades descubiertas por IA resultan en ejecución remota de código (RCE), frente al 26% del ecosistema general.

El otro lado de la moneda es el ruido. CSO Online reportó que Google detuvo temporalmente la aceptación de ciertos reportes de bug bounty tras una avalancha de envíos automatizados inválidos. Vercel, por su parte, recibió 1.285 reportes de vulnerabilidad en dos semanas de un desafío de seguridad, según el mismo medio.

El riesgo que nadie quiere nombrar: las colisiones

XBOW lo dice sin rodeos: ahora que todos, incluido Google, apuntan LLMs a bases de código como Chrome, las colisiones de bugs son un riesgo mayor. Su primera versión de la cadena usaba una vulnerabilidad de Gin para la fuga del sandbox de V8, pero resultó ser un duplicado de un issue ya reportado. Tuvieron que reemplazar esa etapa por la de WebP animado en medio de "unas horas muy estresantes". Si reportas vulnerabilidades, la lección es incómoda: traer algo nuevo más allá del LLM base es casi obligatorio.

¿Qué significa esto para tu startup?

Tres lecturas concretas:

• Tu superficie de ataque creció sin que hicieras nada. Si tu producto corre sobre Chrome, V8 o cualquier runtime con sandboxes, los bugs que antes tardaban meses en encontrarse ahora aparecen en días. Revisa tu política de actualización de dependencias y navegadores: parchear tarde ya no es un riesgo teórico.
• La validación es tu nuevo cuello de botella. El volumen de reportes crece más rápido que la capacidad de verificarlos. Antes de sumar un escáner o un agente de seguridad, define quién valida, con qué evidencia y en cuánto tiempo. Un dashboard más grande no es mejor seguridad.
• Si usas agentes de IA para auditar código, dales buenos ejemplos. XBOW atribuye parte de su éxito a que los agentes pudieron apoyarse en técnicas ya documentadas por su equipo humano. El agente no reemplaza el criterio: lo amplifica.

Conclusión

Seis días y US$40.000 para una cadena completa de Chrome no significa que cualquiera pueda lograrlo. Significa que el piso bajó, y que la ventana entre "existe un bug" y "existe un exploit" se comprimió de meses a días. Para los equipos de producto, la conclusión práctica es simple: asume que tu software se está auditando constantemente, por amigos y por adversarios. La defensa ya no es la oscuridad, es la velocidad de reacción.

Fuentes

• Zero to Calc in Six Days: Inside XBOW's Chrome Full Chain (fuente original)
• XBOW Raises Series B to Advance Autonomous Penetration Testing
• Vulnerability Discovery and Exploitation Trends in the AI Era
• Google's bug bounty pause highlights growing AI vulnerability triage challenge