El 13 de octubre de 2026, XBOW afirmó que Google le otorgó una recompensa de $250,000 del Programa de Recompensas por Vulnerabilidades de Chrome por una cadena de exploits para Windows que escapó del sandbox del navegador. XBOW afirma que fue el primer pago de ese nivel por una vulnerabilidad de cadena completa de Chrome bajo las reglas de recompensas de Google de 2026.
En el análisis técnico de XBOW, la empresa afirma que un investigador que trabajaba con agentes de IA creó la cadena en seis días, con un coste aproximado de $40,000 en uso de API. XBOW afirma que el ataque enlazó tres vulnerabilidades previamente desconocidas en V8, el decodificador de WebP animado de Chrome y Crashpad para lograr ejecución de código fuera del sandbox de Chrome.
La actualización del VRP de Chrome de Google confirma que los informes de cadena completa sobre procesos del navegador pueden optar a recompensas de hasta $250,000, pero no menciona a XBOW ni describe esta cadena de exploits. Esto significa que los detalles sobre el pago, el plazo y las herramientas proceden de XBOW, mientras que la publicación de Google respalda el nivel de recompensa.
Para los equipos de seguridad, la señal es la velocidad: si los flujos asistidos por agentes pueden convertir vulnerabilidades separadas del navegador en una cadena funcional en menos de una semana, la aplicación rápida de parches y la automatización de actualizaciones del navegador son aún más importantes.