XBOW、10億人のユーザーに影響する脆弱性を発見し、報奨金を獲得

AIエージェントと連携した1人の研究者が、3つの脆弱性を利用した攻撃チェーンを構築し、Googleの2026年度Chrome脆弱性発見プログラムにおいて、初となる25万ドルの報奨金を獲得（脆弱性は、推定10億人のChromeユーザーに影響）

シアトル--(BUSINESS WIRE)--（ビジネスワイヤ） -- 自律型攻撃的セキュリティ企業であるXBOWは、同社が運営するプラットフォームに関して、GoogleのChrome脆弱性報奨金プログラムから25万ドルの報奨金を獲得したことを発表しました。これは、Googleによる2026年度の規定に基づくChrome脆弱性発見に対する初の報奨金であり、自律型攻撃セキュリティプラットフォームに授与された初の報奨金でもあります。この取り組みは、XBOWが長年培ってきた攻撃セキュリティに関する実績と、OpenAIのGPT-5.6 Solモデルの機能を融合させたものです。

XBOWのAIエージェントと1人のセキュリティ研究者は、6日間にわたり協力し、Windows版Chromeで攻撃可能な脆弱性を発見しました。今回の脆弱性では、これまで知られていなかった3つの別々のバグを連鎖的に利用し、Chromeのセキュリティサンドボックス（ブラウザの最も強力な障壁）の外でコードを実行する単一の攻撃を可能にしました。攻撃者がこのアクセス経路を利用した場合、マルウェア、ランサムウェア、スパイウェアをインストールしたり、横方向への侵入経路を確保したり、認証情報やファイルを盗み出したりすることができたはずです。しかも、ユーザーが何かをダウンロードしたりクリックしたりする必要は一切ありませんでした。

修正が行われる前は、今回の脆弱性は、世界中で推定10億人のWindows版Chromeユーザーが利用しているシステムに含まれていたと見られています。

XBOWの創設者兼CEOであるオエゲ・デ・ムーアは、「今回のケースは、人間の創意工夫と数十年にわたる攻撃セキュリティに関する経験が、世界最高水準のモデルと組み合わさった時に、どれほどのスピードと可能性が生まれるかを浮き彫りにしました。個別の深刻度は比較的低いかもしれない脆弱性が、連鎖的に組み合わさると、深刻な攻撃経路へと発展する可能性があります。1人の研究者が、わずか推定4万ドル相当の演算能力と6日間で、従来なら数か月かかっていた攻撃チェーンを生成しました。攻撃者らはこのレベルのスピードと容易さで攻撃を仕掛けており、防御側も同様のスピードで、発見された多くの脆弱性の中から悪用可能な経路を見つけ出す必要があります」と述べています。

XBOWは公式プログラムを通じてすべてのバグをGoogleに報告し、Googleのエンジニアはエクスプロイトを再現、そして確認し、これに対する修正プログラムをリリースしました。3つのバグはそのすべてについて根本原因レポートが公開されており、これらの脆弱性がChromeユーザーに対して悪用されることはありませんでした。XBOWは、今回獲得した賞金を、XBOWの技術によるNGOのセキュリティ強化のための継続的な取り組みに充てる予定です。

OpenAIのサイバーリサーチ責任者であるクリント・ギブラー氏は、「当社では、より多くの防御側が、重大な脆弱性をより迅速に発見し、修正できるよう支援したいと考えています。XBOWの1人の研究者が当社のモデルを活用して一連の脆弱性を発見し、Googleに修正させました。当社はセキュリティ研究者や業界のパートナーと協力し、これらの機能をより多くの防御担当者に提供することで、人々が日々利用するソフトウェアを保護しています」と述べています。

攻撃の仕組み：今回の攻撃チェーンは、3段階を経て2つのサンドボックス境界を越えました。

• ChromeのJavaScriptエンジンであるV8のバグにより、攻撃者はエンジンのサンドボックス内でのメモリの制御が可能になりました。
• ChromeのアニメーションWebP画像デコーダーのバグ（CVE-2026-85045）により、サンドボックスから抜け出し、ネイティブメモリへの書き込みが行われました。
• サンドボックス外で実行されるChromeのクラッシュハンドラーであるCrashpadのバグ（CVE-2026-78952）により、完全なコード実行が可能になりました。

結果：ウェブページの読み込みだけで、Chromeのサンドボックス外でプログラムが起動しました。実際の攻撃では、このプログラムは攻撃者が自由に選択できます。

XBOWは、実際の攻撃者が行うのと同じ方法で悪用可能な脆弱性を見つけて証明し、修正できるように報告する自律型攻撃的セキュリティプラットフォームを構築しています。

XBOWについて

XBOWは、AI時代に向けたサイバー防御を再定義する自律型攻撃的セキュリティ企業です。AI推論と攻撃的セキュリティワークフローを融合したXBOWプラットフォームは、専門家レベルのセキュリティテストを機械の速度で実現します。XBOWはセキュリティチームが反応型防御からAI規模での先制防御へ転換することを可能にします。XBOWのお客様にとって、自律的な攻撃こそが最善の防御です。

本記者発表文の公式バージョンはオリジナル言語版です。翻訳言語版は、読者の便宜を図る目的で提供されたものであり、法的効力を持ちません。翻訳言語版を資料としてご利用になる際には、法的効力を有する唯一のバージョンであるオリジナル言語版と照らし合わせて頂くようお願い致します。