Un equipo de tres personas a tiempo parcial ha desarrollado en tres meses una cadena completa de exploits para Google Chrome que une cinco vulnerabilidades y permite la ejecución de código desde el motor JavaScript V8 en el proceso de renderizado hasta el proceso GPU. La primera vulnerabilidad en el proceso GPU se descubrió a principios de marzo de 2026; un mes después apareció el resto de los fallos en V8. Los exploits del renderer se completaron en dos semanas y la cadena funcional sobre Windows 11 estuvo lista a principios de mayo; tras varias semanas de ajuste, la fiabilidad alcanzó cerca del 100%. El conjunto fue reportado a Google a través del Chrome Vulnerability Reward Program, que abonó 117.000 dólares.
El artículo describe el flujo técnico del trabajo y el papel de los modelos de IA. Los investigadores emplearon Gemini, Claude y Codex para acelerar tareas como el ajuste de un heap spray en V8 y la aplicación del lema de Sterbenz, una pieza matemática que permitió reconstruir bytes de memoria a partir de coordenadas de píxel en el proceso GPU. Los autores subrayan que la IA no actuó de forma autónoma: el equipo mantuvo el control de la dirección del trabajo, seleccionó la información que se introducía en los modelos y verificó cada candidato de vulnerabilidad. El primer fallo se identificó en el compilador Maglev de V8, bautizado como «el Rey Maglev».
Según el equipo, dirigido por Quang Luong —sin experiencia previa en investigación de navegadores—, el mismo esfuerzo habría supuesto entre seis meses y un año para una firma ofensiva de primer nivel trabajando a jornada completa. La investigación se publica como material divulgativo, con pruebas de concepto y un entorno de prueba documentado, con el objetivo de reducir la barrera de entrada al estudio de la seguridad de navegadores.