هک کروم با ایجنت‌های هوش مصنوعی در ۶ روز؛ ماجرای جایزه ۲۵۰ هزار دلاری XBOW و معنایش برای امنیت

گوگل برای کسی که بتواند یک زنجیره کامل نفوذ (full-chain exploit) به کروم بسازد، جایزه ۲۵۰ هزار دلاری گذاشته است؛ جایزه‌ای که به‌ندرت پرداخت می‌شود. در ۲۱ مهر ۱۴۰۵، شرکت امنیتی XBOW اعلام کرد این جایزه را برده است. نکته تکان‌دهنده: ایجنت‌های هوش مصنوعی این زنجیره را ساخته بودند.

ماجرای XBOW در چند خط#

طبق گزارش‌ها، این دومین بار است که گوگل جایزه ۲۵۰ هزار دلاری کروم را پرداخت می‌کند و طبق قوانینی که در آوریل ۲۰۲۶ معرفی شد، فقط چهار جایزه از این نوع در سال ۲۰۲۶ اعطا می‌شود.

زنجیره نفوذ یعنی چه؟#

مرورگرهای مدرن چند لایه دفاعی دارند. کدی که در یک صفحه وب اجرا می‌شود، داخل یک سندباکس (قفس امن) است و نمی‌تواند به سیستم دست بزند. «زنجیره کامل» یعنی چند آسیب‌پذیری به هم وصل شوند تا از یک صفحه وب معمولی به اجرای کد بیرون از سندباکس برسند.

زنجیره XBOW سه حلقه داشت:

1. V8، موتور جاوااسکریپت کروم
2. رمزگشایی WebP متحرک
3. Crashpad، سیستم گزارش خرابی کروم

چرا این خبر مهم است؟#

۱. مدل عمومی، نه مدل سری#

XBOW از یک مدل عمومی استفاده کرده که همه به آن دسترسی دارند، نه یک مدل امنیتی ویژه با دسترسی محدود. یعنی توانایی ساخت این نوع حمله دیگر فقط در انحصار تیم‌های نخبه نیست.

۲. اقتصاد امنیت عوض شد#

۴۰ هزار دلار هزینه برای ۲۵۰ هزار دلار جایزه یعنی پیدا کردن آسیب‌پذیری با ایجنت‌ها سودآور است. این برای مدافعان خبر خوبی است (باگ‌ها سریع‌تر پیدا و رفع می‌شوند) و برای مهاجمان هم.

۳. مسابقه بین حمله و دفاع تندتر می‌شود#

همین روند را در ابزارهای دفاعی هم می‌بینیم؛ از محافظ ایجنت‌ها مثل Bitdefender AI Guardian تا مدل‌هایی که اول به تیم‌های دفاع سایبری داده می‌شوند. نهادهای نظارتی هم وارد ماجرا شده‌اند؛ بررسی اتحادیه اروپا و بریتانیا را بخوان.

برای کاربر عادی چه معنایی دارد؟#

1. مرورگر را همیشه به‌روز نگه دار. این مهم‌ترین دفاع توست؛ وقتی گوگل آسیب‌پذیری را رفع می‌کند، فقط مرورگرهای به‌روز محافظت می‌شوند.
2. به‌روزرسانی خودکار را خاموش نکن.
3. سیستم‌عامل را هم به‌روز کن. زنجیره‌های نفوذ گاهی از ضعف سیستم‌عامل هم استفاده می‌کنند.
4. افزونه‌های غیرضروری را حذف کن. هر افزونه یک سطح حمله اضافه است.
5. روی لینک‌های ناشناس کلیک نکن؛ شروع این حملات معمولاً یک صفحه وب است.

ماجرای XBOW برای برنامه‌نویس‌ها چه پیامی دارد؟#

اگر خودت نرم‌افزار می‌سازی، این ماجرا یک هشدار و یک فرصت است:

• هشدار: اگر ایجنت‌ها می‌توانند در کروم، یکی از امن‌ترین نرم‌افزارهای دنیا، زنجیره نفوذ پیدا کنند، پیدا کردن باگ در کد معمولی تو خیلی ساده‌تر است. فرض کن مهاجمان هم به همین ابزارها دسترسی دارند.
• فرصت: همان ایجنت‌ها را می‌توانی برای دفاع استفاده کنی. از ابزارهایی مثل Claude Code یا Factory AI بخواه کدت را از نظر امنیتی بازبینی کنند؛ ولی هیچ‌وقت آن‌ها را جای بازبینی متخصص امنیت نگذار.
• وابستگی‌ها را به‌روز نگه دار: بیشتر حمله‌های واقعی از کتابخانه‌های قدیمی شروع می‌شوند، نه از کد خود تو.

و اگر برای کار از افزونه‌های مرورگر زیادی استفاده می‌کنی، هر چند ماه یک بار فهرستشان را مرور کن و افزونه‌های بی‌استفاده را حذف کن.

جمع‌بندی#

ماجرای XBOW نشان داد ایجنت‌های هوش مصنوعی حالا می‌توانند در چند روز کاری را انجام دهند که قبلاً ماه‌ها کار تیم‌های نخبه بود. برای ما کاربران، پیام ساده است: به‌روزرسانی را جدی بگیر؛ چون سرعت پیدا شدن آسیب‌پذیری‌ها از همیشه بیشتر شده است.

منابع#

• RuntimeWire: XBOW earns Google's $250,000 bounty with a six-day Chrome exploit
• ExplainX: XBOW Chrome full-chain exploit and GPT-5.6 Sol
• The Neuron: Everything that happened in AI on October 13, 2026