网络安全行业默守多年的假设——拿下 Chrome 的层层沙箱、取得系统权限，是顶尖利用研究团队的“半年级工程”——正在被改写。安全公司 XBOW 的四名研究员搭配 OpenAI 面向所有人开放的 GPT-5.6 Sol 模型，用六天构建出一套 Chrome 全链路漏洞利用程序，XBOW 估算其理论影响面约十亿用户。 按 XBOW 的说法，这条链演示了攻击者如何从用户访问一个普通网页开始，远程接管一台 Windows 电脑。IT之家XBOW官方博客
谷歌已修复全部三个漏洞并支付 25 万美元赏金，XBOW 称这是谷歌 2026 年 4 月新规则下颁出的首个 Chrome 全链路奖励。 相关漏洞已上报并完成修复，XBOW 表示没有证据表明这些漏洞曾被用于实际攻击。XBOW Labs知乎
三个漏洞，各自捅穿一层“不可变”假设
Chrome 的防御是分层的：V8 引擎先把 JavaScript 的内存圈进一个 4 GiB 的“笼子”，操作系统再把渲染进程关进沙箱，笼子和沙箱之外才是整台电脑。XBOW 的链条由三个漏洞接力，恰好一扇一扇开掉这三道门。 V8 的 Maglev 编译器在去优化时错误复用一个可变的浮点数值盒，换来引擎笼内的任意读写；动画 WebP 解码器误信“移交后的缓冲区不会再被改”，而 V8 沙箱并不承诺这一点，由此拿到笼外第一次原生内存写入；沙箱外的崩溃处理器 Crashpad 认定被“冻结”的渲染进程内存不会变化，利用程序借 Windows 一个可绕过冻结标记的线程，在两次读取之间反复翻转页面权限，诱导 Crashpad 越界写入，把代码执行送到了主机上。XBOW Labs
XBOW 总结，三个漏洞的共性是修改了被认为不可变的东西——这类不变量失效场景，恰好是吃透了海量操作系统 API 与开源代码的大模型最擅长构造的。演示也毫不含蓄：在已登录的 Chrome Beta 里打开一个网页，Windows 计算器随即弹出。XBOW Labs
拉开效率的真正原因：每个部件都带备胎
分工上，AI 智能体翻 Chrome 源码、测试想法、构建概念验证、写出利用程序初稿；四名人类研究员定策略、选方向、审查智能体的工作，并决定把哪些部件拼在一起。 项目也没有让单个智能体端到端硬啃整条链，而是拆成宽域漏洞搜索、V8 内存破坏、V8 沙箱逃逸、渲染器沙箱逃逸与整合五条并行战役。XBOW官方博客XBOW Labs
奖金差点没拿到：第一版链里有一个漏洞被谷歌告知内部早已发现，整条链作废，团队只能推倒重建。 救场的是此前一个关键的人类决策——链条从设计之初就拆成三个独立部件，每个部件各留一个备胎。 换掉中间环节只花了“非常紧张的几小时”，8 月 2 日至 7 日，新链在 Black Hat 与 DEF CON 的会场间隙重建完成。XBOW官方博客XBOW Labs
六天、4 万美元：门槛塌了，但链不是人人可复制
数字最能说明变化：LLM 之前，一条 Chrome 全链大约需要四人团队做 6 到 9 个月；XBOW 的第一版用了两个月，而最终拿奖这版只用六天。 团队六天的投入成本也仅约 4 万美元。XBOW LabsIT之家
不过 XBOW 同时明确划界：六天加 4 万美元，不意味着谁都能换回一条 Chrome 链，智能体被喂的高质量范例，不少源自其人类团队多年积累的利用技术。 真正被砸下来的是门槛，不是天花板。XBOW Labs
整个项目最刻意的设定是模型选型：XBOW 特意选了“任何人都能用到”的公开模型，而不是安全专用或受限访问的模型。因此对于“是否该管制强力模型”的争论，公司的回应很直接：模型已经公开，这是问错了方向。 XBOW 进一步预测，一年之内，这三个漏洞中的每一个都可能被完全自主的智能体独立找到。XBOW官方博客
对普通用户，眼下只需做对一件事：保持 Chrome 处于最新版本，Chrome 虽会自动安装更新，但修复要重启浏览器才真正生效，见到“更新”按钮就重启一次。 对软件厂商，XBOW 的提醒更重：假设你的应用可被利用，先于攻击者测试自己的代码——防御者第一次能“一键”获得攻击级的能力，这是攻击者永远不具备的优势。 这家以 AI 自动化渗透测试为主业的公司，2025 年中完成 7500 万美元 B 轮融资，当时就被投资人视为 AI 安全领域的“AlphaGo 时刻”。 六天撬开 Chrome 沙箱，大概不是纪录的终点，而是严重漏洞价格曲线的起点。IT之家XBOW官方博客36氪
