Una IA ayuda a construir en seis días un ataque completo contra Chrome, ya corregido
XBOW cobró 250.000 dólares de Google por una cadena de tres fallos en Chrome creada con agentes de IA; Google ya los ha arreglado.
La empresa de seguridad XBOW usó agentes de IA (con el modelo GPT-5.6 Sol de OpenAI) para montar en seis días un ataque que permitía ejecutar código en un Windows desde una web. Google ya ha corregido los tres fallos; actualiza Chrome.
Datos clave
XBOW, una empresa de seguridad ofensiva que trabaja con agentes de IA, publicó el 13 de octubre de 2026 que construyó una cadena completa de ataque contra Chrome en seis días. Según CyberInsider, el trabajo se hizo entre el 2 y el 7 de agosto con el modelo GPT-5.6 Sol de OpenAI, de acceso público, y unos 40.000 dólares de computación.
La cadena enlaza tres fallos: uno en el compilador Maglev del motor V8 (el que ejecuta JavaScript), otro en el decodificador de imágenes WebP animadas y otro en Crashpad, el componente que gestiona los cierres inesperados del navegador. En conjunto, una web maliciosa podría ejecutar código en un ordenador con Windows. La demostración abrió la calculadora de Windows desde una página en Chrome Beta.
Google aprobó el 31 de agosto una recompensa de 250.000 dólares, según el registro de la incidencia citado por CyberInsider, y ya ha corregido las tres vulnerabilidades. Es la primera recompensa por una cadena completa que Google concede en 2026.
Conviene no exagerar el papel de la IA: según la misma fuente, los investigadores humanos eligieron los objetivos, comprobaron los resultados y reorientaron el trabajo de los agentes.
Lo que aún no se sabe es con qué frecuencia se podrá repetir algo así ni quién más dispone de herramientas parecidas.
«Google has fixed all three vulnerabilities used in the chain»
Qué significa para ti
- Abre Chrome, entra en el menú de ayuda y comprueba que está actualizado; después reinícialo para que se apliquen las correcciones.
- No hay nada que hacer salvo mantener el navegador al día: el fallo ya está corregido.
- Es otra señal de que la IA acelera tanto a quienes protegen como a quienes atacan, por lo que actualizar pronto importa más.
Para aprovecharlo
Fuentes
- XBOW, «XBOW Built a Chrome Full-Chain Exploit Affecting a Billion Users in Six Days»
- CyberInsider, «Google pays $250K bounty for AI-assisted Chrome exploit built in six days»
¿Ves un error? Avísanos y lo corregimos en la fe de erratas.