Am 13. Oktober 2026 teilte XBOW mit, dass Google dem Unternehmen im Chrome Vulnerability Reward Program eine Prämie von $250,000 für eine Windows-Exploit-Kette gezahlt habe, die aus der Browser-Sandbox ausbrach. Laut XBOW war dies unter Googles Vergütungsregeln von 2026 die erste Auszahlung in dieser Höhe für einen vollständigen Chrome-Exploit.
In XBOWs technischem Bericht schreibt das Unternehmen, dass ein Forscher mithilfe von KI-Agenten die Kette in sechs Tagen und mit API-Nutzungskosten von rund $40,000 entwickelte. XBOW zufolge verband der Angriff drei zuvor unbekannte Schwachstellen in V8, Chromes Animated-WebP-Decoder und Crashpad, um Code außerhalb der Chrome-Sandbox auszuführen.
Googles Chrome-VRP-Update bestätigt, dass Meldungen zu vollständigen Ketten im Browserprozess für Prämien von bis zu $250,000 qualifiziert sein können. XBOW wird darin jedoch nicht genannt und diese Exploit-Kette nicht beschrieben. Angaben zu Auszahlung, Zeitplan und Tools stammen daher von XBOW, während Googles Beitrag die Prämienstufe selbst stützt.
Für Sicherheitsteams ist vor allem das Tempo relevant: Wenn agentengestützte Workflows einzelne Browser-Schwachstellen in weniger als einer Woche zu einer funktionsfähigen Kette verbinden können, werden schnelle Patches und automatisierte Browser-Updates wichtiger.