XBOW GPT-5.6 Chrome 漏洞利用链获得 Google 25 万美元完整链路奖励

XBOW 在六天内构建了一条由三个漏洞组成的 Chrome 漏洞利用链，并获得了 Google 25 万美元的最高完整链路奖励。XBOW GPT-5.6 Chrome 漏洞利用从普通 JavaScript 起步，最终在 Windows 上实现了在所有 Chrome 沙箱之外运行代码。

这一结果并不意味着 AI 模型独立攻破了 Chrome。研究员 Brendan Dolan-Gavitt 负责选择目标、提供上下文、审查发现，并连接各个漏洞利用阶段。使用 OpenAI 公开提供的 gpt-5.6-sol 模型的智能体则搜索源代码、测试假设，并起草概念验证程序。

更值得关注的是研究时间被压缩。XBOW 表示，类似工作过去需要四名专家花费六至九个月完成。这条获奖利用链出现在 8 月的一次冲刺中，前期研究、可复用技术以及一次失败的利用链为其奠定了基础。

Google 复现了最终漏洞利用，修复了其中三个漏洞，并批准了奖励。这些事实使该项目不再只是私有基准测试。它们也揭示了真正的竞争压力：浏览器防御方如今必须面对由经验丰富的人类引导、具备机器规模的漏洞研究。

这条六日利用链跨越了 Chrome 的每一道沙箱边界

决定性变化不在于找到一个 Chrome 漏洞，而在于将三个彼此独立的缺陷连接成一条经过验证的路径：从网页一路通往 Windows 代码执行。

XBOW 于 2026 年 8 月 2 日至 8 月 7 日构建了这条获奖利用链，当时研究人员正在拉斯维加斯参加 Black Hat 和 DEF CON。公司在 Google 发布修复后，于 10 月 13 日披露了这项工作。

完整利用链会组合提供不同能力的漏洞。每个阶段都使攻击者跨越一道独立的安全边界，而单个缺陷无法独自完成这些跨越。

第一阶段瞄准了 Chrome 的 JavaScript 引擎 V8。一个编译器错误使漏洞利用能够在 V8 的受保护内存区域内获得广泛的读写权限。

V8 将大多数 JavaScript 对象置于一个隔离的 4 GiB 地址空间中。该进程内沙箱限制了攻击者在破坏 JavaScript 对象后能够触及的范围。

第二阶段攻击了 Chrome 的动画 WebP 解码路径。它将 V8 内的访问权限转化为一次精确的、发生在该受保护区域之外的写入，从而跨越第一道主要边界。

第三阶段瞄准了 Chrome 的崩溃报告组件 Crashpad。Crashpad 位于渲染器沙箱之外运行，因为它必须在进程失败时检查进程。

最终漏洞将这种有限的内存写入能力转化为在未沙箱化崩溃处理程序中的代码执行。XBOW 通过从普通 Chrome Beta 页面启动 Windows 计算器应用程序，展示了这一结果。

Dolan-Gavitt 的详细漏洞利用分析记录了这三个阶段及其接口，也描述了这项工作背后人类与机器各自承担的角色。

页面加载后，该攻击不需要下载文件或额外点击。修复前，恶意网站理论上仅通过浏览器内容即可触发这条利用链。

XBOW 表示，这些漏洞从未被用于攻击 Chrome 用户。公司通过 Google 的漏洞奖励计划提交了这些问题，使 Google 有时间在公开前复现并修复这些缺陷。

Google 的公开问题追踪器独立证实了最关键的结果。一名工程师记录称，该漏洞利用从 Chrome Beta 启动了计算器，项目也批准了25 万美元奖励。

这一验证十分重要，因为公司演示可能省略环境限制。这里，Google 的记录确认这条利用链确实有效，并符合其最高浏览器漏洞利用奖金的资格。

这项奖励也是 Google 于 2026 年 4 月推出新规则后首次发放的完整链路付款。这些规则将最高金额保留给从网页内容开始并攻陷浏览器进程的漏洞利用。

Google 将该计划在 2026 年的此类奖金限制为四笔。因此，其 Chrome VRP 规则将可用的利用链视为稀缺且价值异常高的提交。

最终利用链并非 XBOW 的首次尝试。此前的一条路径依赖于 Google 已知的漏洞，使该组件成为重复报告，因而无法获得新的奖励。

XBOW 之所以避免整个项目功亏一篑，是因为它将漏洞利用拆分为可互换模块。Dolan-Gavitt 和智能体用动画 WebP 缺陷替换了重复的中间阶段。

这一替换是故事的核心。结果依赖于一套可复用的研究系统，而不是某个灵感突发的提示词凭空生成漏洞利用。

XBOW GPT-5.6 Chrome 漏洞利用为何改变成本曲线

六天内完成的结果给浏览器厂商带来压力，因为它压缩了高级漏洞利用背后昂贵的搜索、测试和整合工作。

完整 Chrome 利用链历来需要在编译器、浏览器内部机制、操作系统和漏洞利用缓解措施等领域具备稀缺专长。研究人员必须找到既新颖又相互兼容的缺陷。

随后，他们必须将孤立漏洞转化为稳定能力。一个阶段可能暴露内存，另一个阶段可能跨越沙箱，第三个阶段则必须完成代码执行。

XBOW 表示，在大语言模型出现之前，四人团队完成类似工作大约需要六至九个月。其首条内部完整利用链耗时约两个月。

这条获奖利用链仅用了六天。XBOW 根据归档的智能体日志重建了使用情况，并估计此次冲刺的 API 费用约为 4 万美元。

这一比较需要谨慎解读。六天的行动并非从零组织知识开始，它之前经历了数月探索和一条更早完成的完整利用链。

XBOW 的研究人员还提供了此前项目中开发的漏洞利用技术。智能体可以利用高质量示例、成熟工具和模块化架构。

即便具备这些前提，变化依然显著。可复用专长如今能够在并行智能体会话中复制，而不再局限于一名研究人员的注意力。

智能体进行了广泛的源代码搜索、提出假设、编写测试程序，并完善早期漏洞利用阶段。人类则专注于策略、验证和将工作串联起来的决策。

这种分工改变了漏洞研究的经济模式。即使大部分尝试最终失败，源代码审查和实验迭代仍可能消耗大量专家时间。

智能体可以同时运行多个更聚焦的研究行动。XBOW 将问题拆分为漏洞发现、V8 破坏、沙箱逃逸、渲染器逃逸和最终整合。

并行化并不保证成功，但它增加了人类在固定时间内能够检查的、技术上可行的路径数量。

25 万美元奖励比报告的 API 账单高出 21 万美元，但这尚未计入工资、基础设施和前期研究成本。这一算术关系并不能证明存在可重复的利润空间。

漏洞赏金取决于新颖性、严重性、可复现性和时机。即使技术上有效的漏洞，如果其他人先提交，报告者也可能一无所获。

重复的 Gin 漏洞在该项目中展示了这种风险。更多自动化研究人员搜索同一份开源代码，可能会增加此类碰撞。

Google 也正在其自身安全工作中使用 AI 辅助技术。因此，这场竞争并不只是 AI 攻击者对抗人类防御者。

这是一场组织之间的竞赛，取决于谁能将模型转化为可靠的研究系统。目标选择、证据管理、复现和披露纪律将成为差异化因素。

对浏览器团队而言，更快的外部研究带来了运营压力。厂商必须复现报告、准备修复、协调发布，并在技术细节扩散前评估相关代码。

这种压力不止于 Google。任何发布大型原生代码应用程序的公司，如今都面临更低的研究门槛，以发现多个子系统之间的交互问题。

桌面软件、服务器和嵌入式设备都存在同类隐藏假设：一个组件信任某个值，而另一个组件却可能意外地改变它。

XBOW 的结果表明，这些跨组件假设是 AI 辅助研究尤其富有成效的目标。模型能够广泛搜索源代码，并连接晦涩的实现细节。

这种能力有利于能够持续测试自身系统的防御者，也有利于能够负担反复行动成本、且无需披露未成功或危险发现的攻击者。

三个可变假设让漏洞利用得以实现

每个阶段都打破了 Chrome 视为稳定的不同假设，为智能体提供了一种连贯的技术模式来追踪。

第一个漏洞出现在 V8 的中层优化编译器 Maglev 中。Maglev 通过对对象形状和值作出假设来加速 JavaScript。

当假设失效时，V8 会执行去优化。它重建普通 JavaScript 对象，并在专业化程度较低的代码中恢复执行。

存在漏洞的路径复用了一个本应单独重建的装箱数字。因此，两个重建后的对象可能共享同一个可变值，而编译器逻辑却将其视为不可变。

漏洞利用在两次观察之间改变了这个共享值。一次检查认可了安全的数组索引，而后续操作则将改变后的值作为实际偏移量。

这种不一致导致了跨越 V8 隔离区域的内存访问。通过 JavaScript，漏洞利用可以检查指针并在沙箱内操纵对象。

Google 的修复移除了这种不安全的复用。V8 现在会为每个相关对象实体化一个新的装箱数字，而非对被认为恒定的值进行去重。

第二个漏洞利用了另一项所有权假设。Chrome 的 WebCodecs 接口允许 JavaScript 将 ArrayBuffer 传递给图像解码器。

按照正常 JavaScript 语义，传输该缓冲区会使旧视图失效。解码器随后可以将底层字节视为独占拥有且稳定的资源。

已经控制 V8 沙箱的攻击者可以破坏负责强制失效的记账信息。Chrome 认为传输完成后，XBOW 仍保持一个视图处于有效状态。

漏洞利用将两个长度相同的有效动画 WebP 图像置于同一内存中。它让 Chrome 检查其中一个图像的几何信息，随后将字节替换为另一个图像。

解码器将第一张图像缓存的尺寸与第二张图像的像素数据组合。这一检查时间与使用时间之间的缺陷导致了原生堆溢出。

XBOW 将该溢出完善为在一个选定原生地址执行一次选定的 64 位写入。这已足以在渲染器内为跨越最后一道边界准备代码。

第三个漏洞涉及 Crashpad 相信被暂停的渲染器无法发生变化。Crashpad 会在读取进程内存以生成崩溃报告前暂停该进程。

Windows 支持一种可绕过进程冻结的特殊线程标志。XBOW 创建了这样的线程，并在 Crashpad 执行两次相关读取时修改页面权限。

Crashpad 的第一次读取失败。其恢复逻辑推断请求的数据跨越了页面边界，随后以更大的长度重试。

解除冻结限制的线程在重试前使源页面变得可读。Crashpad 复制的数据超出了目标分配空间所能容纳的范围，破坏了相邻对象。

XBOW 通过布置周围的堆内存，使覆盖操作修改了一个仍在使用的写入器对象。随后，该链条重定向了合法控制流，并在沙箱外启动了一个进程。

Google 通过将重试限制为两个值中较小者来修复该漏洞：原始请求大小或源页面中的剩余字节数。

这一修复消除了 Crashpad 对时序的依赖。即使另一线程改变映射，重试也无法超过调用方的目标缓冲区。

这些机制说明，构建该链条所需的不只是通用代码生成能力。每个阶段都要求掌握编译器行为、图像解码、堆布局和 Windows 进程语义。

这些智能体帮助探索了巨大的可能性空间。人类研究人员则决定哪些结果可信、兼容且值得整合。

贯穿其中的共同主题，是隐藏在“永久不变”假设背后的可变性。一个数字、图像缓冲区和一个挂起的进程，都在代码将它们视为固定状态后发生了变化。

Dolan-Gavitt 认为，这类不变量遭破坏的问题很适合大语言模型。模型能够将对操作系统接口的广泛知识，与开源代码库中发现的模式联系起来。

这仍只是从一个项目得出的假设。不过，它为防御者提供了一项具体的搜索策略：识别每一处边界——其中一个组件假定另一个组件无法改变状态。

这是人类主导的 AI 研究，而非自主黑客攻击

若将该项目称为完全自主，就会抹杀专家在选择目标、淘汰薄弱路径，以及在碰撞发生后挽救攻击链时所作出的判断。

XBOW 将自己定位为一家自主攻防安全公司。其公告也提到，在这场历时六天、获得奖励的活动中，有一名研究人员与智能体协同工作。

如果“自主”描述的是任务执行，而非整个研究流程的归属，那么这两种说法都可以成立。智能体无需在每一步都由人工编码，便完成了大量技术工作。

它们搜索 Chrome 的源代码树、测试思路、构建概念验证，并产出了早期漏洞利用草案。这些都是漏洞发现中具有实质意义的环节。

Dolan-Gavitt 和其他 XBOW 研究人员为这些活动设定了框架。他们提供示例、质疑输出、调整搜索方向，并选择要整合的组件。

人类研究人员还认识到，该攻击链应采用清晰的接口和备选方案。这一架构选择使团队能够迅速替换重复的 Gin 阶段。

模型本身并不会判断 Google 的接收风险意味着漏洞应当可以互换。该决策反映了披露项目和漏洞利用开发方面的经验。

更早开展的研究也使人们无法按字面理解“六天”。XBOW 在一月的一次公司会议后，便开始着手构建 Chrome 完整攻击链。

据该公司称，其首条攻击链耗时两个月。最终冲刺受益于此前积累的工具、失败尝试和目标知识。

这并不意味着“六天”这一说法不实。XBOW 明确将获奖攻击链的构建时间定为 8 月 2 日至 8 月 7 日。

这意味着，这一衡量覆盖的是最终活动，而不是支撑它的整个组织能力的建立过程。在评估可复制性时，这一区别至关重要。

一名有能力的安全研究人员未必能花费同样额度的 API 成本并复现这一结果。XBOW 在其技术说明中明确警告，不应得出这样的结论。

模型访问权限只是一个输入。高质量示例、评估工具、漏洞利用知识和严谨的编排，都会影响生成的思路能否经受测试。

公开证据中还存在一处标注不一致。XBOW 的公告将 CVE-2026-85045 分配给动态 WebP 阶段。

其技术文章和 Google 的发布信息则将该编号与 V8 漏洞关联。在现有记录中，WebP 漏洞没有一个得到明确确认的公开编号。

这一差异并不削弱已验证的完整攻击链。它表明，读者应将技术确认与经过润色的公告文案区分开来。

两个漏洞拥有明确的公开编号。CVE-2026-78952 对应 Crashpad 问题，CVE-2026-85045 对应 V8 问题。

WebP 阶段拥有公开的 Chromium 问题记录和已记录的修复措施。其不确定的 CVE 标签不应被当作既定事实重复传播。

The Hacker News 的独立报道指出了同样的不一致，同时确认了更广泛的攻击顺序和修复情况。

XBOW 还估计，该易受攻击的路径影响了十亿名使用 Windows 的 Chrome 用户。这一暴露规模来自该公司，并非 Google 公开发布的测量数据。

暴露人群并不等同于受害人群。XBOW 表示，没有发现任何人利用这些漏洞攻击 Chrome 用户的证据。

最稳妥的结论更为明确，也更具说服力：在专家指导下，公开的通用模型实质性加速了一项真实漏洞利用的研发，而 Google 已复现并给予奖励。

这一结果比基准测试分数更具影响力。它的自主程度也低于最戏剧化的总结所暗示的水平。

AI 漏洞研究给防御者带来了两难困境

帮助厂商发现危险代码路径的同一套自动化能力，也可能增加具备能力、正在寻找这些路径的团体数量。

XBOW 将这项工作视为证据，认为防御者应首先将进攻型智能体部署到自己的软件上。这一论点具有现实说服力。

软件厂商拥有源代码、测试环境、系统知识，以及修复发现问题的授权。他们还可以持续开展活动，而不会越过法律边界。

攻击者拥有不同的优势。他们不需要记录失败尝试、协调修复，或等待披露窗口。

随着模型能力提升，探索复杂代码库的成本对双方都会降低。结果是，从引入漏洞到有人构建出可用漏洞利用的时间间隔将缩短。

Google 的奖励计划试图将这种能力引导至协调披露。高额奖金使报告攻击链比出售或私下使用攻击链更具吸引力。

奖励无法覆盖每一项发现。项目设有范围规则、报告要求和符合资格的奖金上限。

碰撞也会削弱激励。如果多个智能体系统集中发现同一个漏洞，只有首位符合条件的报告者能获得全部认可。

这为研究人员带来了新的优化问题。快速发现常见漏洞很重要，但发现不常见的路径更为重要。

XBOW 的模块化设计正是对此环境的直接回应。当某个组件失去资格时，备用阶段保护了更大的提交成果。

防御者应预期资源充足的攻击者也会采取同样策略。模块化漏洞利用开发使团体能够替换已修补或已被发现的组件，而不必放弃整个活动。

AI 系统还会生成大量看似合理但实际错误的发现。如果安全团队在自动化发现的同时不改进验证机制，可能会制造代价高昂的噪声。

概念验证能够缩小这一问题，因为它将抽象警告转化为可观察的行为。完整攻击链则更进一步，展示了相互独立的弱点如何组合。

不过，漏洞利用生成也会带来治理风险。在测试过程中，模型可能接触敏感源代码、崩溃数据、凭据或内部架构。

组织需要对数据访问、隔离、日志记录和披露进行控制。还需要明确授权，规定智能体可以测试什么，以及生成的漏洞利用可以在哪里运行。

在人类研究与部署之间的边界上，人工审查仍然不可或缺。一个能够修改浏览器漏洞利用的智能体，不应获得对生产系统不受限制的访问权限。

OpenAI 和其他模型提供商面临相关的政策难题。过于严格的限制可能阻碍正当防御工作，而广泛的访问权限则可能扩大进攻能力。

据该公司称，XBOW 的 GPT-5.6 Chrome 漏洞利用使用的是公开可用的模型。它不需要专门的、仅限政府使用的系统。

这一细节削弱了仅依赖限制狭义安全模型的策略。当通用编码和推理能力与恰当的工具框架结合时，已足以支持高级研究。

因此，防御者需要的是运营层面的响应，而不只是围绕访问权限的讨论。更快的补丁开发、更好的沙箱边界和持续的对抗性测试变得更加重要。

团队还必须保存机构知识。智能体日志、失败假设、复现环境和审查者决策，共同构成可复用的安全资产。

可搜索的工程知识库能够帮助团队在事件之间保留这些上下文。它无法取代漏洞利用专业知识，但可以减少重复的调查工作。

更广泛的教训并不是 AI 已经让软件安全变得自动化。它使严谨的安全运营变得更有价值，因为具备能力的实验如今可以更快地规模化开展。

Google 颁发 25 万美元奖励后应关注什么

下一批证据应衡量可重复性、防御响应时间和人工介入的减少，而非又一次戏剧性的演示。

第一个信号是，XBOW 能否在无关的原生代码目标上复现这一成果。该公司表示，正在为桌面软件、服务器和嵌入式系统开发自主产品。

一条获奖的浏览器攻击链无法证明一种通用能力。跨不同架构的重复发现，将更有力地支持这样一种说法：智能体编排能力可迁移至 Chrome 以外的领域。

这些结果的质量比原始漏洞数量更重要。具有可用概念验证且已被接受修复的高严重性发现，比未经验证的扫描器警报提供更有力的证据。

第二个信号是浏览器厂商如何改变其内部测试。Google 已针对 AI 辅助安全研究时代调整了其奖励计划。

其 2026 年框架强调可复现、高影响力的报告，并为符合条件的 Chrome 完整攻击链提供最高 25 万美元奖励。Google 还讨论过利用 AI 改进自身漏洞检测。

关注从报告被接受到稳定修复之间的时间间隔是否缩短。同时也要关注能够消除整类可变状态假设的架构变更。

第三个信号是成功攻击链中的人工参与度下降。XBOW 预测，智能体可能在一年内独立发现这三类漏洞中的每一种。

这一说法需要证据。未来的系统需要能够选择有前景的目标、排除错误路径、处理碰撞，并在更少专家指导下整合各个阶段。

仅统计生成的概念验证数量并不够。更有力的测试是，智能体能否在受控且获得授权的条件下，产出一条新颖、经厂商确认的攻击链。

披露记录可以在不提前暴露危险细节的前提下揭示进展。它们可以展示谁选择了目标、发生了多少人工干预，以及哪些阶段需要专家修正。

读者还应关注奖励计划的拥堵情况。更多重复报告将表明，自动化系统正集中于类似的代码模式。

被接受的、彼此无关的发现激增，则意味着覆盖范围更广。相反，嘈杂提交的激增只会加重厂商响应团队负担，而不会相应提升安全性。

对于用户而言，立即该做的事很简单。Chrome 会自动安装更新，但只有在浏览器重启后，保护措施才会生效。

这些已识别的漏洞已在 Chrome 152 发布周期内修复。用户应重新启动 Chrome，并确认没有待完成的更新。

对安全负责人而言，更值得追问的问题要求更高：面对一条由机器生成、针对自身软件的利用链，你的团队能以多快速度完成验证与修补？

XBOW GPT-5.6 Chrome exploit 并不意味着人类研究人员已经过时。它表明，一名合格的研究人员如今可以主导比以往多得多的实验工作。

这一转变将奖励那些同时具备模型访问能力、扎实技术审查、受控测试和快速修复能力的组织。真正决定谁能从更快的漏洞发现中获益的，是这些能力，而非仅仅是模型名称。