6天、4万美元、25万美元赏金：AI用GPT-5.6 Sol攻穿Chrome，开发者该重新算安全账

安全公司XBOW干了一件让整个行业坐直的事。

10月13日，XBOW披露：研究人员指挥运行OpenAI公开模型GPT-5.6 Sol的AI Agent，用6天时间把Chrome浏览器的3个零日漏洞串成一条完整攻击链，成功逃出双层沙箱，在Windows上执行任意代码。谷歌确认了全部漏洞，完成修复，并开出25万美元最高赏金。

这是谷歌2026年新规下第一笔Chrome全链赏金，也是第一次发给一家自主安全公司。

一条攻击链，三层突破

Chrome的防护体系是嵌套式的。网页代码跑在V8沙箱里，V8沙箱外面还有一层操作系统级进程沙箱。攻破一层不够，得连穿两层才算真正拿下。

XBOW的链路分三步：

第一步，V8引擎的Maglev优化编译器存在漏洞（CVE-2026-85045），根源是反优化时复用了一个可变的装箱数字。攻击者由此获得V8指针压缩笼内的读写能力。

第二步，动图WebP解码器漏洞完成V8沙箱逃逸。团队没有硬啃沙箱本身，而是利用了V8沙箱刻意不校验、Blink又错误地假定可信的一个属性，对计算机内存做了一次精确写入。

第三步，崩溃处理器Crashpad的溢出漏洞（CVE-2026-78952）跨过最后一道进程边界，实现宿主机上的无沙箱代码执行。

用户只需要打开一个网页。不下载、不点击，代码就跑在了Chrome外面。

漏洞影响面按XBOW估算覆盖约10亿Windows Chrome用户。两个有编号的漏洞分别在高危等级，修复版本为152.0.7977.65（8月25日）和152.0.7977.82（9月3日）。Chrome会自动更新，但重启浏览器才生效——检查你的版本号，确认在152.0.7977.82以上。

数字才是这件事的核心。

XBOW研究员Brendan Dolan-Gavitt给出一组对比：前LLM时代，一条Chrome全链需要4人团队干6到9个月。XBOW的第一次提交用了2个月。这次拿奖的链路，6天。

6天里发生了什么？AI Agent搜索Chrome源码、验证假设、构建概念验证、编写利用代码的初稿。人类负责选目标、提供上下文、质疑Agent的结果、决定哪些组件拼进链路。Dolan-Gavitt的原话是：”我们确实应用了大量人类专业知识和判断。”

攻击发生在8月2日到8月7日，正值拉斯维加斯Black Hat和DEF CON大会期间。成本约4万美元的API费用。赏金25万美元，投入产出比超过6倍。

还有一个细节能看出工程功力：链路中某个漏洞被发现是谷歌已知的，整条链差点报废。团队把利用代码拆成了可替换模块，备件顶上，链路保住了。

CEO Oege de Moor提到一位情报机构老兵的反应：他的团队过去要花6个月才能找到这类漏洞并拿到完全访问权限。XBOW用了6天。

Dolan-Gavitt给防御者的警告写得很直白：”6天加4万美元，对一条Chrome全链来说，时间和成本都太低了。门槛已经大幅降低，请据此调整防御。”

对开发者来说，几个变化正在发生：

攻击面在提速。 以前一个高危漏洞从发现到武器化以月计，现在以天计。你的依赖库、浏览器、运行时的补丁窗口被压缩了。补丁管理从季度级变成周级，才勉强跟上节奏。

公开模型就有这种能力。 GPT-5.6 Sol是公开可用的模型，XBOW没有用任何特供版本。安全研究、渗透测试的门槛正在坍缩，掌握基本Agent编排的人就能发起过去需要顶级团队才做得到的攻击。

攻防两端同时被AI加速。 同一个月里，Anthropic上线了OSS Scanner，免费为开源项目扫描漏洞，靠的也是Claude系列最强模型。AI在修补开源生态，也在被用来拆解浏览器。工具中立，账单两份。

10亿用户的风险敞口已经关闭，25万美元的支票已经开出。留下的问题是结构性的：全世界的攻击成本曲线正在被AI拉低，而多数企业的防御预算和响应流程还停在旧曲线里。

XBOW用6天证明了旧的时间假设作废。接下来该轮到防御方重算自己的账本了——你的漏洞响应SLA、依赖更新周期、红队演练频率，还按”月”为单位设计吗？

攻击者的单位是”天”。