Чисто номинально, Chromium открыт (а хромой - просто блобы-надстройки над ним + иконка другая). Но с его 34 млн строк кода (переплюнувшим уже давно даже Linux Kernel), изучать его кодовую базу целиком не то, что бессмысленно, но и просто невозможно в одиночку. Реально работать только над одним конкретным компонентом, и этим занимаются в основном люди на пэйролле у гугла.

Так что да, любые уязвимости - это продукт "чистой случайности" и вообще всегда можно пойти изучать миллионы строчек кода этой поделки... Если хватит мозгов, чтобы загрузить в них это. :)