Em 13 de outubro de 2026, a XBOW afirmou que o Google lhe concedeu uma recompensa de $250,000 do Programa de Recompensas por Vulnerabilidades do Chrome por uma cadeia de exploração para Windows que escapava do sandbox do navegador. Segundo a XBOW, foi o primeiro pagamento nesse valor por uma vulnerabilidade de cadeia completa do Chrome sob as regras de recompensa do Google para 2026.
No artigo técnico da XBOW, a empresa diz que um pesquisador trabalhando com agentes de IA desenvolveu a cadeia em seis dias, a um custo de cerca de $40,000 em uso de APIs. A XBOW afirma que o ataque conectou três vulnerabilidades até então desconhecidas no V8, no decodificador de WebP animado do Chrome e no Crashpad para executar código fora do sandbox do Chrome.
A atualização do VRP do Chrome do Google confirma que relatórios de cadeia completa no processo do navegador podem se qualificar para recompensas de até $250,000, mas não cita a XBOW nem descreve essa cadeia de exploração. Isso significa que os detalhes sobre pagamento, cronograma e ferramentas são o relato da XBOW, enquanto a publicação do Google sustenta a própria faixa de recompensa.
Para equipes de segurança, o sinal é o ritmo: se fluxos assistidos por agentes conseguem transformar vulnerabilidades separadas do navegador em uma cadeia funcional em menos de uma semana, a correção rápida e a automação de atualizações do navegador se tornam ainda mais importantes.