Exploit Chrome full-chain en six jours : comment l’IA a révolutionné la chasse aux failles

En six jours, un chercheur de la société XBOW a construit une chaîne d’exploitation complète de Chrome capable d’exécuter du code sur un PC Windows sans aucune interaction de l’utilisateur - rien qu’en chargeant une page web. Le coût ? 40 000 dollars de calcul sur un modèle d’IA publique. La récompense ? 250 000 dollars, le maximum que Google offre pour un rapport de vulnérabilité. Cette prouesse, réalisée avec OpenAI GPT-5.6 Sol, marque un tournant dans la recherche de failles de sécurité. Vous devez comprendre ce que cela implique pour votre sécurité et comment vous protéger.

L’exploit qui a fait trembler Chrome : retour sur une démonstration de force

C’est pendant les conférences Black Hat et DEF CON à Las Vegas, entre le dimanche 2 et le vendredi 7 août 2025, que Brendan Dolan-Gavitt, chercheur chez XBOW, a mis au point cet exploit Chrome full-chain en utilisant des agents d’IA orchestrant le modèle ouvert GPT-5.6 Sol d’OpenAI. Ce n’était pas un coup d’essai : l’équipe avait déjà réalisé une première chaîne complète en deux mois, mais cette fois, le délai a été divisé par dix grâce aux capacités de l’IA.

« Pre-LLMs a Chrome full chain would take a team of four around 6-9 months to be produced, our first submission took 2 months. The awarded one? six days. » - Brendan Dolan-Gavitt, XBOW

Google a confirmé les trois vulnérabilités, les a corrigées dans Chrome 152 et a versé à XBOW la récompense maximale de 250 000 dollars. Selon les règles mises à jour en 2026 du programme Chrome Vulnerability Reward Program, seuls quatre rapports de ce type sont récompensés par an. XBOW affirme qu’il s’agit du premier full-chain reward accordé à une société de cybersécurité autonome depuis ces nouvelles règles.

Le contexte : une course de vitesse entre chercheurs et attaquants

La rapidité de cet exploit Chrome soulève une question cruciale : si une équipe de recherche peut produire une chaîne complète en six jours avec une IA accessible à tous, que peuvent faire des acteurs malveillants disposant de budgets bien plus élevés ? Heureusement, XBOW précise que ces failles n’ont jamais été exploitées dans la nature. Google les a corrigées avant toute divulgation publique.

Les trois vulnérabilités : une traversée des couches de protection de Chrome

Chrome utilise deux sandbox imbriqués pour isoler le code d’une page web du reste du système. La chaîne d’exploitation mise au point par XBOW a réussi à franchir ces deux barrières. Voici le détail des trois failles utilisées :

Étape 1 : prise de contrôle mémoire dans V8

La première faille, référencée sous CVE-2026-85045, permettait à un attaquant de prendre le contrôle de la mémoire à l’intérieur du moteur JavaScript de Chrome. C’est la porte d’entrée de la chaîne.

Étape 2 : évasion du premier sandbox via WebP

La seconde vulnérabilité se situe dans le décodeur d’images animées au format WebP. En utilisant le contrôle mémoire acquis à l’étape 1, le chercheur a pu exploiter cette faille pour sortir du premier sandbox et effectuer une seule écriture précise dans la mémoire de l’ordinateur. Aucun identifiant CVE n’a été publié pour cette étape, mais Google l’a corrigée dans la même cycle de Chrome 152.

Étape 3 : exécution de code hors du sandbox via Crashpad

La troisième faille (CVE-2026-78952) touche Crashpad, le gestionnaire de crash de Chrome, qui s’exécute en dehors du sandbox. L’unique écriture mémoire réalisée à l’étape 2 a suffi à déclencher une exécution de code complète sur la machine Windows. L’utilisateur n’avait rien eu à faire à part charger une page web.

Ce que l’IA a apporté : collaboration homme-machine

Contrairement à une idée reçue, l’IA n’a pas tout fait toute seule. XBOW distingue clairement les rôles :

Tâches réalisées par les agents IA (GPT-5.6 Sol) :

• Recherche dans le code source de Chrome
• Test d’idées et de preuves de concept
• Rédaction des premières versions de l’exploit

Tâches réalisées par le chercheur humain :

• Choix des cibles à attaquer
• Apport de contexte et de contraintes
• Évaluation et contestation des résultats de l’IA
• Décision des assemblages de morceaux

« Six days and $40k is not a lot of time or money when the payoff is a Chrome chain! The bar is now much lower. Defend accordingly. » - Brendan Dolan-Gavitt

Cette synergie a permis de diviser par dix le temps de production d’une chaîne complète. Le premier essai de XBOW avait nécessité deux mois ; celui-ci s’est achevé en six jours. Et le coût en calcul n’a été que de 40 000 dollars, bien inférieur aux salaires d’une équipe de quatre chercheurs sur plusieurs mois.

Comparaison avec les méthodes traditionnelles : un bond spectaculaire

Pour mesurer l’impact, il faut comparer les ressources nécessaires avant et après l’utilisation de l’IA :

Avant (méthodes traditionnelles) :

• Équipe de 4 chercheurs
• 6 à 9 mois de travail
• Coût salarial estimé : 200 000 à 400 000 dollars

Avec l’IA (cet exploit) :

• 1 chercheur
• 6 jours
• 40 000 dollars de calcul IA

Ce n’est pas seulement un gain de temps ; c’est une démocratisation de la capacité à produire des exploits complexes. Les défenseurs doivent en tenir compte. Comme le souligne Dolan-Gavitt, la barrière d’entrée est désormais bien plus basse.

Implications pour la sécurité des navigateurs et des utilisateurs

Avant les correctifs, plus d’un milliard d’utilisateurs de Chrome sous Windows étaient potentiellement exposés à ce type d’attaque full-chain, selon XBOW. Si une telle chaîne tombait entre de mauvaises mains, elle pourrait être exploitée pour l’espionnage, le vol de données ou l’installation de logiciels malveillants.

Google a réagi rapidement en corrigeant les failles dans les versions successives de Chrome 152. Mais une mise à jour ne sert à rien si le navigateur n’est pas redémarré. La correction ne prend effet qu’après un redémarrage complet.

Statistiques clés à retenir

• 1 milliard d’utilisateurs potentiellement exposés avant correctif
• 250 000 $ de récompense maximale versée par Google
• 40 000 $ de coût de calcul pour générer l’exploit
• 6 jours de travail effectif contre 6 à 9 mois auparavant

Mesures de protection : que devez-vous faire concrètement ?

La bonne nouvelle, c’est que les correctifs sont disponibles. Voici les actions immédiates que vous devez entreprendre pour protéger votre poste de travail :

1. Redémarrez Chrome complètement : fermez toutes les fenêtres et relancez le navigateur. Cela active les correctifs déjà téléchargés automatiquement.
2. Vérifiez votre version : dans Chrome, cliquez sur les trois points → Aide → À propos de Google Chrome. La version doit être au minimum 152.0.7977.82.
3. Activez les mises à jour automatiques : assurez-vous que Chrome est configuré pour se mettre à jour automatiquement (paramètres par défaut).
4. Surveillez les alertes de votre équipe sécurité : si vous êtes un professionnel, restez à l’écoute des communications de Google et de l’ANSSI à ce sujet.
5. Formez vos utilisateurs : rappelez-leur de ne pas ignorer les demandes de redémarrage du navigateur.

« Le correctif prend effet après redémarrage : laissez le navigateur se redémarrer dès que possible. » - Recommandation pratique

Exemple de commande pour vérifier la version sous Windows :
chrome.exe --version
# ou ouvrir l'interface graphique dans Aide > À propos

Pour les entreprises, il est conseillé de mettre en place une politique de mise à jour des navigateurs et d’utiliser un outil de gestion centralisée (comme une console de gestion Chrome ou un MDM) pour forcer les redémarrages après les mises à jour critiques.

Conclusion : une nouvelle ère pour la recherche de vulnérabilités

Cet exploit Chrome full-chain construit en six jours avec une IA publique n’est pas un incident isolé. C’est une démonstration de ce qui devient possible avec les modèles de langage avancés. Le temps et le coût nécessaires pour produire une chaîne d’exploitation complète ont chuté de façon spectaculaire. Les défenseurs, comme les attaquants, ont désormais accès à ces outils.

Pour les professionnels de la cybersécurité, le message est clair : il faut adapter ses défenses. Les correctifs doivent être déployés plus rapidement, les programmes de bug bounty doivent évoluer, et la collaboration homme-machine devient la norme. Pour les utilisateurs, la vigilance et la mise à jour régulière des logiciels restent les meilleures protections.

Restez informé des dernières menaces, suivez les recommandations de l’ANSSI et n’oubliez pas : un redémarrage de Chrome peut faire la différence entre une machine compromise et un système sécurisé.