Le 13 octobre 2026, XBOW a déclaré que Google lui avait attribué une récompense de $250,000 dans le cadre du Chrome Vulnerability Reward Program pour une chaîne d’exploitation Windows sortie du bac à sable du navigateur. XBOW affirme qu’il s’agit du premier versement à ce niveau pour un bug Chrome à chaîne complète selon les règles de récompense 2026 de Google.
Dans l’analyse technique de XBOW, l’entreprise indique qu’un chercheur travaillant avec des agents IA a construit la chaîne en six jours, pour un coût d’environ $40,000 en utilisation d’API. XBOW affirme que l’attaque associait trois bugs jusque-là inconnus dans V8, le décodeur WebP animé de Chrome et Crashpad, afin d’exécuter du code en dehors du bac à sable de Chrome.
La mise à jour du Chrome VRP de Google confirme que les signalements de chaînes complètes affectant le processus du navigateur peuvent donner droit à des récompenses allant jusqu’à $250,000, mais ne mentionne pas XBOW et ne décrit pas cette chaîne d’exploitation. Le versement, le calendrier et les détails des outils reposent donc sur le récit de XBOW, tandis que la publication de Google confirme le niveau de récompense.
Pour les équipes de sécurité, le signal porte sur la vitesse : si des workflows assistés par agents peuvent transformer des bugs de navigateur distincts en une chaîne fonctionnelle en moins d’une semaine, l’application rapide des correctifs et l’automatisation des mises à jour du navigateur deviennent encore plus importantes.