Une IA accessible à tous a aidé à fabriquer en quelques jours une attaque complète contre Chrome
L'entreprise XBOW a enchaîné trois failles de Chrome grâce à des agents IA basés sur un modèle public d'OpenAI. Google a tout corrigé et versé la prime maximale de 250 000 dollars. Le signal est clair : l'IA accélère la recherche de failles.
Visiter une simple page web et se retrouver avec un code malveillant exécuté sur son ordinateur : c’est ce que permettait une chaîne de trois failles dans Google Chrome. Elle a été construite par l’entreprise de sécurité XBOW, en grande partie avec des agents d’intelligence artificielle. Google a corrigé les failles et récompensé la découverte par la prime maximale : 250 000 dollars.
Trois failles, une seule page web
Une attaque contre un navigateur moderne est difficile, car Chrome enferme ses pages dans des « bacs à sable » (sandbox) qui limitent les dégâts. Il faut donc enchaîner plusieurs failles, un peu comme franchir trois portes verrouillées de suite. Selon XBOW, sa chaîne passait par :
- une faille dans V8, le moteur JavaScript de Chrome (CVE-2026-85045), pour prendre le contrôle de la mémoire ;
- une faille dans le décodeur d’images WebP animées, pour sortir du premier bac à sable ;
- une faille dans Crashpad, le gestionnaire de plantages (CVE-2026-78952), pour finir par exécuter du code sous Windows.
Il suffisait de charger une page web. Avant les correctifs, XBOW estimait à environ un milliard le nombre d’utilisateurs de Chrome sous Windows exposés.
Le rôle de l’IA
Les agents IA, basés sur un modèle public d’OpenAI appelé GPT-5.6 Sol, ont analysé le code de Chrome, testé des pistes, écrit des preuves de concept et rédigé des premières versions. Les chercheurs humains choisissaient les cibles, donnaient le contexte, contestaient les résultats et assemblaient les pièces.
La chaîne primée a été montée du 2 au 7 août 2026, soit en six jours. Attention toutefois : elle s’appuyait sur des mois de travail préalable. XBOW indique aussi avoir dépensé environ 40 000 dollars en frais d’IA. La première chaîne complète de l’entreprise avait demandé deux mois.
Pas d’attaque réelle, mais un avertissement
XBOW affirme que ces failles n’ont jamais été utilisées contre de vrais utilisateurs. Google les a confirmées et corrigées. Les correctifs sont arrivés dans Chrome 152, notamment les versions 152.0.7977.65 (25 août) et 152.0.7977.82 (3 septembre).
Ce qu’il faut en retenir : si une équipe de chercheurs y arrive avec un modèle accessible au public, des groupes malveillants y arriveront aussi. L’IA ne rend pas n’importe qui capable de pirater Chrome, mais elle raccourcit le temps entre la découverte d’une faille et son exploitation. Pour les utilisateurs, la fenêtre pour installer les mises à jour se réduit.
Que faire ?
- Redémarrez Chrome : une mise à jour n’est active qu’après le redémarrage. Dans le menu, ouvrez « Aide » puis « À propos de Google Chrome », et vérifiez que la version est 152.0.7977.82 ou plus récente.
- Laissez les mises à jour automatiques activées, sur votre navigateur comme sur votre système.
- Même conseil pour les autres navigateurs basés sur Chromium (Edge, Brave, Opera).