XBOW Chrome 漏洞利用赢得 Google 25 万美元赏金，但关键决策仍由人类作出
XBOW 借助 GPT-5.6 Sol 在六天内构建了一条 Google Chrome 漏洞利用链，并称该工作获得了 Google 最高 25 万美元的奖励。这条攻击链串联了三个此前未知的漏洞，突破 Chrome 的安全屏障，并在一台 Windows 计算机上执行了代码。
相比赏金本身，这种组合更值得关注。XBOW 估计，获奖项目消耗了约 4 万美元的 API 算力；而类似工作过去通常需要一支专家团队耗时数月。该公司称，Google 已复现该漏洞利用、修复全部三个漏洞，并未发现攻击者曾利用它们攻击 Chrome 用户的证据。
不过，这并不是一个获得模糊目标后便自行攻破 Chrome 的自主系统。XBOW 研究人员选择攻击目标、拆分任务、审阅结果、保留备用路径，并决定哪些组件应当组合在一起。因此，核心矛盾在于：AI 辅助带来的速度，与将零散弱点转化为可靠攻击仍不可或缺的专家判断之间的张力。
这一结果出现的时点也异常敏感。OpenAI 将 GPT-5.6 Sol 归类为具备较高网络安全能力，但尚未达到其关键阈值。其部署前评估发现，该模型能够发现漏洞和利用原语，却无法独立针对经过加固的软件产出可用的完整攻击链。
XBOW 的真实世界项目确实构建出了这样的攻击链，但依赖于密集的人类指导和专门打造的研究流程。实验室评估与专家引导部署之间的这一差距，才是这则事件最重要的部分。
XBOW Chrome 漏洞利用跨越了三道安全边界
该奖励认可了一条从普通网页到在 Chrome 渲染器沙箱外执行代码的完整路径。
XBOW 于 2026 年 10 月 13 日披露了这一结果。其研究人员表示，获奖攻击链是在团队于拉斯维加斯参加 Black Hat 和 DEF CON 期间，于 8 月 2 日至 8 月 7 日组装完成的。
完整攻击链会组合多个漏洞，使每个漏洞分别击破不同的防御层。某个漏洞可能在浏览器进程内破坏内存，但 Chrome 的其他保护措施本应阻止这种破坏延伸至操作系统。成功的攻击链会将受限立足点转化为更广泛的控制权。
XBOW Chrome 漏洞利用包含三个阶段。第一阶段瞄准 Maglev，即 Chrome JavaScript 引擎 V8 中的优化编译器。V8 通常会将许多 JavaScript 对象限制在称为 V8 沙箱的受保护内存区域中。
根据 XBOW 的技术解析，Maglev 在去优化过程中错误地复用了一个可变的装箱数字。去优化发生在优化代码必须放弃既有假设、重新构建普通 JavaScript 对象时。
这一错误使漏洞利用获得了对 V8 受保护内存区域的全局读写访问能力。这是一项严重能力，但尚未提供原生代码执行或渲染器之外的访问权限。
第二阶段攻击了 Chrome 的动画 WebP 解码器。该解码器在处理被漏洞利用在底层修改的字节时，缓存了来自一张图像的信息。这造成了检查时间与使用时间不一致的漏洞：经过验证的数据与后续实际使用的数据不同。
XBOW 称，这种不匹配导致了 V8 受保护区域之外的原生内存覆盖。该漏洞被分配为 CVE-2026-85045。
随后，团队将这一有限的覆盖能力转化为 Chrome 渲染器内的原生执行。它利用 WebAssembly 代码和一个进程范围的代码指针结构重定向执行流程，而未直接覆盖受保护的代码入口。
最后阶段瞄准 Windows 上 Chrome 的崩溃报告组件 Crashpad。Crashpad 运行在渲染器沙箱之外，因为它必须检查故障进程并捕获诊断信息。
该漏洞涉及 Crashpad 相信被挂起的渲染器在读取内存期间无法发生变化。Windows 支持一种特殊线程选项，即使进程的大部分处于挂起状态，该线程仍可继续运行。
XBOW 的漏洞利用借助此类线程，在 Crashpad 初次读取与重试之间修改页面保护属性。随后，Crashpad 复制的数据超过了接收缓冲区所能容纳的范围。由此产生的覆盖最终使攻击链能够在渲染器沙箱外启动 Windows Calculator。
该 Crashpad 漏洞被分配为 CVE-2026-78952。XBOW 的获奖公告称，Google 在发布修复之前复现了完整攻击链。
根据 XBOW 的说法，演示从一个网页开始，无需下载或额外点击。该公司估计，在修复之前，这类漏洞所处的攻击路径影响了约 10 亿名 Windows Chrome 用户。
这一覆盖范围估计来自 XBOW，而非 Google 独立发布的评估。它不应被解读为有 10 亿套系统遭到攻击，或在相同条件下均可被主动利用的证据。
XBOW 表示，未曾观察到这些漏洞被用于攻击 Chrome 用户。其意义在于概念验证所证明的事实：三个单独看来受限的缺陷，可以被连接为一条 Windows 入侵路径。
Google 公开的完整攻击链规则独立确认，针对活跃 Chrome 版本的网页内容漏洞利用可获得 25 万美元奖金。这些规则要求使用受支持的操作系统、当前硬件缓解措施，并要求漏洞利用在未启用不安全调试标志的情况下正常运行。
XBOW 称，其奖励是 Google 2026 年 4 月规则下的首笔完整攻击链付款。该公司还将这一成果描述为大语言模型时代首个获得奖励的 Chrome 完整攻击链。Google 的公开材料确认了这一奖励类别，但 Google 尚未发布能够确认各历史排名的获奖者名册。
这一区别很重要。奖励框架可以独立验证，而有关该项目成本、劳动投入和历史排名的若干细节，仍是公司自行报告的数据。
六天改变了漏洞研究的经济学
最有力的变化证据并非 AI 发现了一个漏洞，而是一名专家能够在一周内协调多个困难的漏洞利用阶段。
XBOW 称，在 LLM 出现之前，开发一条 Chrome 完整攻击链可能需要四名研究人员耗时六至九个月。该项目的首次尝试耗时约两个月，而获奖的替代攻击链只用了六天。
六天的对比来自 XBOW 自己的研究人员，而非受控研究。漏洞利用项目会因目标、可用技术、研究人员经验和运气而显著不同。一次成功项目无法确立普遍的生产力倍数。
即便存在这一限制，整个过程仍揭示了具有意义的运营变化。团队没有等待一个智能体解决全部问题，而是将工作拆分为并行项目，覆盖漏洞搜索、V8 内存破坏、两次沙箱逃逸和集成。
运行 OpenAI GPT-5.6 Sol 的智能体搜索源代码、测试假设、生成概念验证，并起草漏洞利用组件。研究人员提供上下文、选择有前景的方向、淘汰薄弱结果，并重新引导搜索。
这种分工更像一个协调运作的研究实验室，而非一次聊天机器人会话。智能体扩大了团队能够测试的技术路径数量，而经验丰富的人类则控制资源分配与质量。
该项目还采用了模块化工程。每个漏洞利用阶段都会向下一个阶段提供明确的能力，研究人员则为关键组件保留了替代方案。
当 Google 告知 XBOW 其第一条攻击链中的一个漏洞已为人所知时，这一设计变得至关重要。重复报告通常会失去大部分奖励价值，因为供应商已经收到相关发现。
团队没有重建完整漏洞利用，而是用动画 WebP 漏洞替换了重复的中间阶段。其余组件继续运行，因为攻击链围绕可替换的接口设计。
这正是该事件挑战简单的人类对抗 AI 叙事之处。根据 XBOW 的说法，GPT-5.6 Sol 完成了大量搜索和实现工作。人类研究人员则创建了使这些工作能在重大冲突后继续成立的架构。
XBOW 根据存档的 Codex 日志重建出约 4 万美元的 API 费用。该数字覆盖六天获奖项目的模型使用量，而非整个项目的总经济成本。
它不包括研究人员薪酬、早期实验、第一条被否决的攻击链、基础设施、管理成本以及 XBOW 积累的漏洞利用知识。因此，它不能支持“任何人都能以同样金额购买一次 Chrome 入侵”的简单说法。
XBOW 研究员 Brendan Dolan-Gavitt 明确警告不要作出这种解读。他的分析称，团队运用了大量专业知识，并提供了源自 XBOW Native Team 开发技术的示例。
其中一个例子是“island hopping”加载器。该技术将短指令片段置于生成的 WebAssembly 代码中，并通过跳转将它们连接起来。由于专家已开发并记录了这项先前工作，智能体得以对其进行改造。
这一机制指向更广泛的竞争优势。拥有高质量漏洞利用档案、结构化研究笔记、可复现实验环境和经验丰富审阅者的安全组织，可以为 AI 智能体提供更好的起始材料。
一个工程知识库在这一模式下会变得更有价值。它可以保存决策、失败方法、补丁和可复用技术，否则这些信息将分散在各个研究人员的机器上。
因此，直接压力落在浏览器供应商和企业安全团队身上。他们面临的挑战不再只是 AI 能否识别漏洞，而是防御者能否以与 AI 辅助研究人员生成发现相同的速度完成分诊、复现和修复。
Google 已经围绕这一问题调整了其项目。其 2026 年的奖励变更强调困难、可复现的漏洞，并为当前系统上完整的浏览器进程攻击链提供最高 25 万美元奖励。
赏金变更承认，孤立发现并不具有同等价值。与低上下文扫描器结果相比，展示完整攻击路径的报告能为真实风险提供更有力的证据。
不过，更快的发现速度仍可能造成数量问题。供应商必须从崩溃、重复报告、误报和缺乏实质安全影响的问题中，区分出可被利用的报告。
XBOW 的模块化方法加剧了这种压力。若某一阶段与既有报告冲突，研究人员可以替换另一个组件，而非放弃整条攻击链。防御者面对的可能不仅是更多发现，还有更多持续尝试将它们串联起来的努力。
GPT-5.6 Sol 加速了工作，但未取代专家判断
XBOW 的成果缩短了 AI 辅助研究与自主利用之间的距离，但并未消除这段距离。
OpenAI 将 GPT-5.6 Sol 描述为其面向长程推理、编程和网络安全任务的旗舰模型。其于 2026 年 6 月发布的模型预览报告称，该模型在漏洞研究评估中取得了显著提升。
这些评估也记录了一项重要限制。在涉及 Chromium 和 Firefox 的测试中，GPT-5.6 Sol 找到了漏洞和有用的利用原语，但未能自主组装出一条可用的完整利用链。
因此，OpenAI 将该模型归类为低于其关键网络安全阈值。达到关键级别的模型将能够独立针对加固的真实系统产出严重的零日漏洞利用，或从高层目标出发执行新型攻击。
已发布的系统卡将漏洞开发判断列为持续存在的瓶颈。模型难以判断哪些线索值得持续投入，区分有用原语与死胡同，并协调完整的攻击路径。
XBOW 恰好提供了这些缺失的能力。其研究人员选择目标、拆分行动、提供专业上下文、评估结果，并整合出最终利用链。
这并不意味着模型的贡献微不足道。搜索 Chrome 源码、测试利用思路，以及产出早期可工作的阶段，都是劳动密集型任务。将这些工作压缩为并行智能体运行，能够实质性扩大研究人员的能力边界。
但这意味着，“AI 构建了 Chrome 漏洞利用”这一说法需要补充限定。更准确的描述是：一个专家团队构建了一套智能体研究流程，其中 GPT-5.6 Sol 承担了大量迭代性的技术工作。
这一区别对风险预测至关重要。完全自主的漏洞利用将使攻击者能够凭借有限的专业知识扩大攻击行动规模。相比之下，专家指导下的自动化会让那些原本就理解进攻性安全的人和组织获得最大收益。
目前，人类知识仍然是一种力量倍增器。研究人员必须能够识别有前景的编译器不变量，理解 V8 沙箱的威胁模型，并知道一次有限的内存写入如何能够连接到 Windows 进程逃逸。
XBOW 表示，AI 完成了大部分工作，但一项人类决策保住了这次成功行动。通过构建带有备选方案的独立阶段，团队得以在 Google 拒绝首条利用链中重复的组件后恢复推进。
这些技术缺陷本身也呈现出一种有利于概念推理的共同模式：每个阶段都涉及软件将可变状态当作固定状态来处理。
Maglev 重用了一个被假定为不可变的对象。Blink 信任了攻击者仍可更改的已传输图像数据。Crashpad 则假定暂停的进程会在内存读取之间保持稳定。
大型语言模型能够有助于发现这类错配，因为它们可以连接大型代码库和操作系统接口中的已记录假设。然而，识别出三种不同的违规如何构成一条可靠利用链，仍是一个更高阶的整合问题。
与其他安全方法的比较同样重要。传统静态分析会在源代码中搜索预定义模式。模糊测试则反复变异输入，以触发崩溃或不一致行为。人类研究人员会提出假设，并将微弱信号转化为攻击路径。
智能体系统可以结合这三种方法的元素。它们能够阅读代码、生成测试用例、操作调试器、修订假设，并维持多条调查线路。
其弱点在于，活跃并不保证进展。智能体可能追逐无法利用的崩溃、重复已知技术、误解安全边界，或产出脆弱的概念验证。
Google 对重复发现的判定也说明了另一项限制。随着越来越多的公司和内部安全团队使用类似的前沿模型针对相同的开源目标，它们将越来越频繁地发现重叠漏洞。
瓶颈随后将从原始发现转向新颖性、可利用性和整合能力。一个识别出数百次崩溃的模型，可能不如一个将三项被忽视的假设转化为一条可复现利用链的团队有价值。
这正是为什么主要竞争并非 GPT-5.6 Sol 对阵人类黑客，而是 AI 辅助研究组织对阵围绕较慢、以人工为主的发现流程设计的安全体系。
25 万美元奖励并不能证明什么
一条经过验证的利用链证明了严肃的能力，但并不表明 GPT-5.6 Sol 能够按需自主攻破加固软件。
第一项不确定性涉及归因。XBOW 对智能体和研究人员所做工作提供了详细叙述，但外部人士无法仅凭公开材料重建确切的劳动分工。
据称，归档日志支持这一计算成本估算。这些日志尚未作为完整数据集发布，供独立研究人员审计。
“六天”描述的也是最终行动，而非整个学习过程。XBOW 在 2026 年早些时候就开始追求一条 Chrome 完整利用链，开发过此前的提交成果，并在 8 月前积累了技术和目标熟悉度。
成功的一周受益于此前的投入。其智能体并非在毫无上下文、没有利用示例和没有组织经验的情况下开始工作。
第二项不确定性涉及可重复性。一条利用链可能源于强大研究人员、合适漏洞、可复用技术和快速反馈的有利组合。
一个可重复的系统需要能够在不同加固目标、软件版本、操作系统和防御架构中产出可比结果。公开证据尚未证明这种程度的通用性。
XBOW 预测，智能体可能在一年内独立发现这三个漏洞中的每一个。这是面向未来的公司主张，而非已展示的能力。
第三项不确定性涉及成本。与漏洞赏金相比，报告中的 API 支出或许听起来不高，但这一比较忽略了开发周边系统的总成本。
它还假定成功的赏金支付能够抵消未成功研究的成本。重复报告、已修复漏洞、不可靠的利用程序和低严重性发现，都可能消耗大量计算资源而不产生收入。
Google 限制了其 2026 年计划下可获得完整利用链奖金的数量。公开规则称，在 4 月更新后，最多将支付四笔此类奖金。
因此，漏洞赏金无法吸收无限量的自动化研究。随着更多团队使用类似模型，针对新颖报告的竞争将加剧，而无差别扫描的预期回报应会下降。
第四项不确定性涉及模型访问与安全措施。GPT-5.6 Sol 对许多工作流公开可用，但 OpenAI 实施了分层网络安全控制，并为经过验证的防御者提供专门的访问安排。
XBOW 获授权的研究是在合法漏洞披露流程内进行的。这种环境不同于在未经许可的系统上进行恶意使用。
安全措施可以提高滥用难度，但无法消除底层的双重用途能力。开源代码、本地测试环境和常规调试工具依然广泛可得。
防御价值同样真实存在。供应商可以在发布前将相同系统用于自身代码，更快复现外部报告，并探索孤立发现是否能够被串联起来。
实际风险在于采用速度的不对称。攻击者只需要一条可行路径，而防御者必须审查许多应用、依赖项、配置和版本。
安全团队不应将每一份 AI 生成的报告都视为关键问题。他们需要以证据为基础的分流机制，询问该缺陷是否可达、可复现、可利用，以及是否能够跨越有意义的信任边界。
XBOW 的成果达到了这一标准，因为团队交付了一条完整可用的利用链。公开技术报告解释了每项根本原因，并链接到相关修复和 Chromium 问题。
对于用户而言，眼前的行动更简单。XBOW 表示这三个漏洞均已修复，但 Chrome 更新只有在浏览器重启后才会完全生效。
当 Chrome 显示“更新”按钮时，请重启浏览器。如果曾推迟重启，或长期保持浏览器会话开启，用户也应查看“关于 Chrome”页面。
这项建议并不意味着已披露的利用链在修补后仍然有效。它针对的是供应商发布修复与用户实际加载经修正浏览器版本之间反复出现的缺口。
三个信号将表明 AI 漏洞研究是否正在规模化
下一项考验是，这一成果是否会成为跨供应商、团队和加固软件目标的可重复模式。
第一个信号是通过类似 AI 辅助流程构建的另一条经独立确认的完整利用链。针对不同主要目标的第二次成功，将增强这样一种判断：智能体编排已经改变了漏洞开发时间线。
相关证据应包括公开的根本原因报告、供应商确认、清晰的人类与智能体工作拆分，以及对总研究时间的可信核算。缺少这些细节，比较仍将容易受到选择性报告的影响。
未能复现这一结果，并不会使 XBOW 的 Chrome 漏洞利用变得不重要。它只会表明，这条六天完成的利用链更严重地依赖于特定团队、积累的知识，或异常适配的漏洞。
第二个信号是供应商披露队列中可测量的变化。浏览器厂商和大型软件项目应关注高质量、可复现报告的数量，尤其是包含利用原语或完整攻击路径的报告。
仅仅提交量增加说明不了太多。AI 系统既可以制造噪音，也可以产生发现。更有力的指标将是更多新颖报告通过重复检查，并进入高严重性修复流程。
Google 的奖励结构鼓励达到这一质量门槛。最高支付金额对应的是一条可运行的利用链，而不仅仅是自动化声称某段可疑代码存在。
如果供应商开始调整受理系统、扩充复现团队，或优先处理包含机器生成工件的报告，这将支持 XBOW 关于进攻性研究加速的警告。
如果提交量上升，却没有相应增加经过验证的漏洞，那么更直接的问题将是分流超载，而非漏洞利用能力的广泛跃升。
第三个信号是人类干预是否会后移到工作流的更晚阶段。在 XBOW 的行动中，专家仍在几乎每一个重要关口作出战略决策。
一个更自主的系统将能够选择目标、排序有前景的崩溃、构建稳定原语、替换重复组件，并在极少指导下整合利用链。这接近于 OpenAI 的关键阈值所要捕捉的能力。
此类自主性的证据将加强对更严格访问控制、更积极的部署前测试，以及更快采用 AI 辅助防御的论证。若持续依赖专家引导，则支持一种更审慎的结论：前沿模型会放大熟练研究人员的能力，而尚未取代他们。
对于软件团队而言，等待这场争论尘埃落定并不是可靠的防御策略。组织可以开始测试连接各组件的假设，尤其是在一个进程信任由另一个进程控制的数据、内存或状态的地方。
它们还应保留可复现的研究记录、缩短补丁验证周期，并测试低严重性发现是否能够组合成更高影响的路径。这条 Chrome 利用链之所以变得危险，是因为三个边界依次失效。
对于个人 Chrome 用户而言，真正需要关注的问题并不是 GPT-5.6 Sol 是否应为漏洞利用的每个阶段获得认可，而是修复后的浏览器是否确实正在运行。当更新提示出现时，请重新启动 Chrome，并将这一习惯纳入日常设备维护。
对于安全负责人而言，更棘手的问题则关乎组织能力：如果一位专家借助经过精心编排的智能体，能将数月的漏洞利用工作压缩至数天内完成，那么你的团队能否以同样的速度复现并修复这一结果？
