AREX Feed Article
Greg Brockman 发帖：GPT-5.6 Sol 花 6 天、4 万美元算力发现 Chrome 关键漏洞，称获 Google 2026 年首笔 full-chain 赏金
北京时间 10 月 14 日凌晨 1 时 43 分，OpenAI 总裁兼联合创始人 Greg Brockman 在 X 发帖：安全公司 XBOW 用 OpenAI 的 GPT-5.6 Sol 模型，耗时 6 天、花费约 4 万美元算力，找到了 Chrome 的一个关键漏洞。他在中称，该漏洞拿下 Google 2026 年首笔 full-chain（全利用链，即串联多个漏洞突破全部防线）赏金，预计影响约 10 亿用户，并强调防御者同样有机会用这类工具「把自己的软件安全提升到前所未有的水平」。截至北京时间 14 日午后，这条帖子已有约 37.5 万次浏览、4,594 次点赞和 236 次转推。
Brockman 的帖子转述的是 XBOW 同日发布的公告，并非独立验证。按 （西雅图，10 月 13 日）的说法，Google 依据 Chrome 漏洞奖励计划（VRP，Vulnerability Reward Program）2026 年 4 月生效的新规则，向这家自主攻击性安全公司支付了 25 万美元；获奖利用链由三个此前未知的漏洞串成，只需让用户加载一个网页，就能在 Chrome 沙箱之外执行代码。
赏金认定出自 XBOW 一方，Chrome 历史上第二次
Brockman 的帖子里有一处容易被略过的措辞：他写的是 claiming（据称）——赏金认定出自 XBOW 一方。XBOW 的列出的要素包括：一名研究员与 AI 代理协作，为 Windows 构建了完整的 Chrome 利用链；这是 2026 年新规则下 Google 的首笔 Chrome full-chain 奖励，也是此类奖励第一次授予自主攻击性安全平台。补充了一个坐标：这是 Chrome 历史上第二次 25 万美元 full-chain 赏金，两次都给了 XBOW。
按新闻稿说法，XBOW 通过 Google 官方项目提交了全部漏洞，Google 的工程师复现了利用链、确认三个漏洞并发布了修复，三个漏洞的公开根因报告均已上线；这些漏洞从未被用来攻击 Chrome 用户。25 万美元赏金将被 XBOW 用于资助其保护 NGO 的持续工作。关于影响面，XBOW 估计，修复之前，这类缺陷处于全球约 10 亿 Windows Chrome 用户的攻击路径上；提醒，这是潜在暴露面的估计，不是受害人数。
从马耳他全员大会到拉斯维加斯的重建
XBOW 创始人兼 CEO Oege de Moor 在公司中交代了来龙去脉：2026 年初在马耳他的全员大会上，他向团队发起挑战——把公司此前针对 web 应用的进攻性 AI 研究扩展到桌面软件、服务器和 IoT 设备，目标是他能想到的最难目标：Chrome full chain，期限定在 8 月的 Black Hat 安全会议。Brendan Dolan-Gavitt、Andres Luksenberg、Baul Lee 和 Willem Pinckaers 四名研究员接下任务，「第五位同事」是 GPT-5.6 Sol 及其前代模型。
第一条链没能通过：Google 告知其中一个 bug 已在其掌握之中。拯救项目的是一个设计决定——整条链被拆成三个独立部分，每部分都备有替代方案，可以只换掉不合格的组件而不必推倒重来。8 月 2 日至 7 日，正在拉斯维加斯参加 Black Hat 和 DEF CON 的 Dolan-Gavitt 带着代理重建出获奖链条。给出的算力成本约为 4 万美元 API 费用，依据是对归档 Codex 日志的重建——25 万美元赏金的零头。
XBOW 着力强调的是速度对比：技术长文写道，在前 LLM 时代，一条 Chrome full chain 需要四人团队投入 6～9 个月，XBOW 的第一次提交花了 2 个月，获奖这条只用了 6 天。de Moor 还转述了一位情报机构老兵的说法——这类「从识别漏洞到拿到完全控制权」的工作，他的团队过去要花 6 个月。老兵未具名，这只是单方回忆，不是对同一任务的受控比较。
三个漏洞、两道沙箱，加载一个网页就够
Chrome 的防线是分层的：V8 引擎先把内存破坏关在一个约 4 GiB 的指针压缩笼里，外面再套一层操作系统级的渲染器沙箱。full-chain 就是从一个普通网页出发，把两层都打穿。XBOW 按三段拆解了链条。
第一环在 V8 的中层优化编译器 Maglev：反优化时，一个可变的 HeapNumber 被当作不可变字面量重复使用，违反了 V8 自己「HeapNumberRef 只为不可变 HeapNumber 创建」的不变量。利用链借 Array.prototype.at() 的边界检查错位，最终改写一个真实 Uint8Array 的元数据，拿到贯穿整个 4 GiB 笼的读写能力。第二环是动画 WebP 图像解码器漏洞（CVE-2026-85045）：WebCodecs 把 ArrayBuffer 转交给 ImageDecoder 后，Blink 以为字节独占，而 V8 沙箱并不承诺被转移的缓冲区不可篡改——两个本身都合法的 WebP 文件前后夹击，解码器把 A 的帧几何配 B 的图像字节，换来一次攻击者选定的 64 位原生内存写入。
第三环是 Chrome 崩溃处理器 Crashpad 的漏洞（CVE-2026-78952），关键在于 Crashpad 恰好运行在沙箱之外。它信任「被挂起的进程不会变化」，而利用链用一个带 BYPASS_PROCESS_FREEZE 标志的 Windows 线程在两次读取之间翻转页面权限，令短读重试写越界，改写崩溃转储写入器，最终把 cmd /k calc.exe 递给 CreateProcessW——在 XBOW 的演示里，签名版 Chrome Beta 加载一个网页，计算器弹出。三个 bug 均已修复；技术长文给出了前两环的公开根因报告编号，Chromium issue 547819997 与 548509153。XBOW 给用户的建议很具体：Chrome 会自动安装更新，但重启浏览器才生效——看到 Update 按钮就重启。
代理跑腿，人类掌舵
XBOW 把这次工作拆成五条并行战役：广域漏洞搜索、V8 内存破坏、V8 沙箱逃逸、渲染器沙箱逃逸和整合。AI 代理使用 gpt-5.6-sol 模型搜索源码、验证假设、构建概念验证、开发各段利用；研究员选择目标、提供上下文、质疑结果、重定向搜索方向，并决定哪些组件拼进最终链条——每个阶段都留有干净接口和备选路线。
de Moor 刻意选了任何人都拿得到的公开模型，而不是专门的安全模型或受限访问模型。他在里写道，模型已经公开，「该不该限制模型」是个错问题；防御者拥有攻击者永远不会有的一种优势——可以第一个测试自己的代码，「有史以来第一次，防御者按一下按钮就能获得攻击者的技能」。
XBOW 致谢 Daybreak 合作，回复区有掌声也有质疑
de Moor 随后致谢：「感谢 @gdb 的合作，感谢把 GPT-5.6 Sol 这样出色的模型交给防御者。我们很自豪成为 Daybreak 的一部分！」Daybreak 是 OpenAI 的网络安全项目：称，它于 6 月随 GPT-5.5-Cyber 首次推出，8 月 10 日扩展出 Blue 与 Red 两档，其中 Daybreak Blue 向获批防御者提供包括 GPT-5.6 Sol 在内的通用前沿模型，安全护栏按合法安全工作调整。OpenAI 网络研究负责人 Clint Gibler（职务见 XBOW 新闻稿）表示，公司正与安全研究者和行业伙伴合作，把这些能力交到更多防御者手中。
回复区里，：「花 4 万美元换 25 万，不错的投资回报。」赏金与影响面不成比例：「影响 10 亿人的漏洞，赏金只有 25 万美元——还有别人觉得这有问题吗？」：过去一条 Chrome full chain 意味着一个研究团队干上几个月，如今 4 万美元加 6 天算力给这项工作按算力重新标了价，「而算力只会越来越便宜」。
de Moor 的公告把成本与时间的下跌写成攻防两头的共同现实，Brockman 强调的是防御者一侧。至于代理能否在一年之内独立找到这三个漏洞——XBOW 给出的预测——目前仍只是这家公司的单方口径：本次获奖的链条，是人类判断与代理速度共同的作品。