Exploit Chrome full-chain par IA : six jours, trois failles, 250 000 $ de prime

Six jours. C’est le temps qu’il a fallu à une équipe de chercheurs en cybersécurité pour fabriquer un exploit Chrome full-chain par IA complet, capable de prendre le contrôle d’un ordinateur Windows sans aucune interaction de l’utilisateur. Le coût de calcul pour y parvenir : 40 000 $. Le résultat : une prime de 250 000 $ versée par Google dans le cadre de son programme Chrome Vulnerability Reward Program. Cet événement, rapporté par la firme de sécurité XBOW, marque un tournant dans la manière dont les attaques zero-day peuvent être conçues.

Jusqu’ici, une chaîne d’exploitation complète de Chrome nécessitait des mois de travail pour une équipe de quatre experts. Désormais, grâce à l’intelligence artificielle générative, un chercheur isolé peut atteindre le même résultat en moins d’une semaine. Ce bond dans la vitesse de création d’exploits oblige les défenseurs à repenser leurs priorités.

Les trois étapes de l’exploit : une chaîne qui traverse chaque couche de protection

L’attaque repose sur l’enchaînement de trois vulnérabilités inconnues (zero-day) situées dans des composants distincts de Chrome. Chacune brise une barrière différente, et ensemble elles permettent de sortir du bac à sable du navigateur pour exécuter du code sur la machine hôte.

La première vulnérabilité (CVE-2026-85045) offre un contrôle de la mémoire à l’intérieur du moteur V8. La seconde, située dans le décodeur WebP animé, exploite ce contrôle pour sortir du bac à sable interne de V8 et effectuer une écriture mémoire précise. Enfin, la troisième faille dans Crashpad - un service qui s’exécute en dehors du sandbox - transforme cette unique écriture en exécution complète de code arbitraire sur Windows.

« Avant les LLM, une chaîne complète pour Chrome aurait nécessité une équipe de quatre personnes pendant six à neuf mois. Notre première soumission a pris deux mois. Celle qui a été récompensée ? Six jours. » - Brendan Dolan-Gavitt, chercheur chez XBOW

Détail technique des trois bugs

• V8 (CVE-2026-85045) : faille de corruption mémoire de haute sévérité, qui permet à une page web malveillante de prendre le contrôle du moteur JavaScript. Le correctif a été livré dans Chrome 152.0.7977.82.
• Décodeur WebP animé : vulnérabilité non publique, également qualifiée de haute sévérité par Google. Elle permet de franchir le premier niveau de sandbox et d’effectuer une écriture contrôlée en mémoire.
• Crashpad (CVE-2026-78952) : faille dans le gestionnaire de crash, qui s’exécute en dehors du sandbox. Une écriture ciblée suffit à l’exploiter pour lancer du code arbitraire. Le correctif est inclus dans Chrome 152.0.7977.65.

L’enchaînement est full-chain car il brise tous les niveaux de protection : depuis une simple page web jusqu’à l’exécution de code en dehors du navigateur, sans aucun clic ni téléchargement de la part de l’utilisateur.

Comment l’IA a réduit le temps de développement de deux mois à six jours

Les chercheurs de XBOW ont utilisé des agents d’intelligence artificielle basés sur le modèle public GPT-5.6 Sol d’OpenAI. Ces agents ont été chargés de plusieurs tâches clés :

1. Parcourir le code source de Chrome pour identifier des zones potentiellement vulnérables.
2. Tester des hypothèses et générer des preuves de concept (PoC) pour chaque idée.
3. Rédiger les premières versions du code d’exploitation à partir des failles découvertes.
4. Proposer des variantes de chaîne d’attaque.

Dans la pratique, les chercheurs humains ont conservé un rôle central : ils ont choisi les cibles, fourni le contexte stratégique, contesté les résultats des agents et décidé de l’assemblage final de la chaîne. L’IA a donc agi comme un accélérateur de recherche, pas comme un remplacement.

« Six jours et 40 000 $ de calcul, ce n’est ni beaucoup de temps ni beaucoup d’argent quand l’enjeu est une chaîne Chrome complète. La barrière est désormais bien plus basse. Défendez-vous en conséquence. » - Brendan Dolan-Gavitt

Un coût dérisoire comparé aux méthodes traditionnelles

Selon les logs internes de XBOW, la campagne de six jours a consommé environ 40 000 $ de frais d’utilisation de l’IA. En regard, une équipe de quatre experts en sécurité travaillant six à neuf mois représente un coût salarial et technique bien supérieur (plusieurs centaines de milliers de dollars). La différence est si frappante que le chercheur lui-même alerte sur la nouvelle donne pour les défenseurs.

NB : Ce résultat a été obtenu après un travail préparatoire de plusieurs mois. L’équipe avait fixé le défi lors d’une réunion en janvier à Malte, et la première chaîne Chrome complète de XBOW avait nécessité deux mois. C’est la réitération avec l’IA qui a permis ce gain spectaculaire.

Implications pour la sécurité des navigateurs et des utilisateurs

Avant le déploiement des correctifs, les trois failles exposaient environ 1 milliard d’utilisateurs de Chrome sur Windows à une attaque de type drive-by download sans aucune interaction. Une simple visite de site web pouvait suffire à compromettre la machine.

Google a réagi rapidement : les correctifs d’urgence ont été intégrés dans les versions 152.0.7977.65 (25 août) et 152.0.7977.82 (3 septembre). Chrome se met à jour automatiquement, mais le correctif ne prend effet qu’après le redémarrage du navigateur. Il est donc impératif de vérifier la version installée et de relancer Chrome si nécessaire.

Mesures concrètes pour les entreprises et les particuliers

• Mettre à jour Chrome : ouvrir chrome://settings/help pour déclencher la vérification et le redémarrage. Les versions antérieures à 152.0.7977.82 sont vulnérables.
• Activer l’isolation des sites : dans les paramètres avancés, renforcer la sécurité du navigateur via les options de sandboxing.
• Surveiller les alertes du CERT : les vulnérabilités critiques de navigateurs doivent être traitées en priorité.
• Former les utilisateurs à vérifier la fiabilité des sites internet et à redémarrer régulièrement leur navigateur - une habitude souvent négligée mais cruciale pour appliquer les mises à jour.
• Utiliser un EDR qui analyse les comportements post-exploitation, même si la chaîne d’attaque contourne le sandbox.

L’attaque montre que la défense en profondeur reste indispensable. Chrome dispose de plusieurs couches de protection (bac à sable, réduction de privilèges), mais une chaîne complète peut toutes les contourner. Les correctifs de sécurité sont le seul rempart fiable - à condition qu’ils soient déployés.

Réactions et recommandations des experts

L’équipe XBOW insiste sur la vitesse comme nouveau facteur de risque. « Il n’a fallu qu’environ 40 000 $ de calcul et six jours à un seul chercheur pour produire une chaîne qui, auparavant, aurait pris des mois », écrit le fondateur de XBOW, Oege de Moor.

Cette démonstration ouvre la voie à une industrialisation de la recherche d’exploits par l’IA. Des acteurs étatiques ou des groupes criminels disposant de budgets conséquents pourraient lancer des campagnes automatisées de chasse aux failles, réduisant encore le temps de découverte et de weaponization.

Dans ce contexte, les bonnes pratiques de gestion des vulnérabilités deviennent vitales :

• Suivre les avis de sécurité de Google Chrome (chromereleases.googleblog.com).
• Automatiser le déploiement des mises à jour critiques via un outil de gestion de parc.
• Segmenter les postes à risque : les utilisateurs Windows exposés à Chrome doivent bénéficier d’une couche de sécurité renforcée (contrôle d’applications, whitelisting).
• Participer aux programmes de bug bounty pour encourager la recherche éthique - Google a d’ailleurs augmenté sa prime maximale à 250 000 $ pour une chaîne complète, avec un maximum de quatre récompenses par an.

Un tableau de bord pour les RSSI

Conclusion : un tournant dans la cybermenace

La démonstration de XBOW n’est pas une simple curiosité technique. Elle concrétise une menace longtemps théorisée : l’utilisation de l’intelligence artificielle pour automatiser et accélérer la création d’exploits. En six jours et pour 40 000 $, un seul chercheur a produit une attaque exploit Chrome full-chain par IA que des équipes entières mettaient des mois à concevoir.

Que retenir ? D’abord, que les correctifs de sécurité doivent être déployés sans délai - la fenêtre d’exposition est désormais mesurée en jours, pas en semaines. Ensuite, que la défense en profondeur reste la meilleure stratégie de prévention, même face à des attaques sophistiquées. Enfin, que la collaboration entre humains et IA peut aussi servir la défense : les agents d’IA peuvent être utilisés pour la recherche proactive de failles et l’analyse de code.

La balle est dans le camp des défenseurs. Maintenant que la barrière à l’entrée a été abaissée, il ne s’agit plus de se demander si des attaques similaires verront le jour, mais quand. Agissez dès aujourd’hui : mettez à jour Chrome, formez vos équipes, et préparez-vous à une nouvelle ère de la cybersécurité où l’intelligence artificielle est l’alliée des deux camps.