XBOW用AI六天打穿Chrome沙箱

六天完成一条Chrome完整利用链

XBOW在10月13日披露，其AI安全智能体与安全研究人员在6天内构建出一条面向Windows版Chrome的完整漏洞利用链，串联三个此前未知的漏洞，最终让攻击代码逃逸浏览器安全沙箱并获得系统级访问能力。三个漏洞均已提交谷歌并完成修复，XBOW因此获得Chrome漏洞奖励计划提供的25万美元赏金，按当前汇率约合167.6万元人民币。

完整漏洞利用链是指将多个独立漏洞按顺序组合，突破软件不同层级防护并实现最终攻击目标的一套利用程序。 单个浏览器漏洞往往只能造成有限影响，例如控制一个渲染进程；真正危险的是把多个漏洞串起来，从网页内容解析一路打到操作系统权限边界之外。

XBOW称，这次攻击链无需用户下载文件或主动点击额外内容，一旦被用于真实攻击，攻击者可能借此安装恶意软件、勒索软件或间谍程序，也可能窃取凭据和文件，并把受害设备作为横向移动的入口。团队估计，相关漏洞潜在影响约10亿Chrome用户，不过这个数字代表可能处于影响范围内的装机规模，不等于已有10亿用户遭到攻击。

Chrome安全沙箱是一套把网页渲染代码限制在低权限隔离环境中的安全机制，目标是让网页即使触发内存破坏漏洞，也无法直接控制操作系统。 这道隔离层是现代浏览器最关键的防线之一，因此“发现一个Chrome漏洞”和“完成沙箱逃逸”并不是同一难度等级。后者要求研究者同时理解浏览器进程模型、对象生命周期、内存布局、系统调用边界以及Windows安全机制，还要把不稳定的崩溃转化为可重复执行的利用程序。

XBOW此次拿到的25万美元，是谷歌2026年规则下首个全链路Chrome奖励，也是首次授予自主进攻性安全平台的同类奖励。这个结果的重要性不只在赏金金额，而在于AI首次以相对明确、可量化的方式参与了顶级浏览器漏洞链的构建。

GPT-5.6 Sol具体做了什么

GPT-5.6 Sol在这次项目中承担的不是“问答助手”，而是可循环执行任务的安全研究智能体核心模型。安全智能体是能够自主读取环境、规划步骤、调用工具、观察结果并根据反馈继续行动的AI系统。 它与普通聊天机器人最大的区别，是不会在给出一段建议后停止，而是能持续搜索代码、运行测试、分析崩溃并修正假设。

根据XBOW披露的信息，AI主要完成了四类工作：

• 搜索和理解规模庞大的Chrome源代码；
• 围绕可疑代码路径提出漏洞假设并自动测试；
• 构建用于验证漏洞是否成立的概念验证程序；
• 编写完整漏洞利用程序的初始版本，再根据运行结果持续迭代。

人类研究人员则负责决定哪些方向值得投入算力、设计总体攻击策略、审查智能体输出，并在测试出现异常时调整后续行动。换句话说，AI负责高吞吐量地“挖、试、改”，人类负责选择目标、判断证据和控制风险。

这次突破更接近“专家带着一支不会疲倦的自动化研究队”，而不是模型独立看懂Chrome后一次性写出漏洞利用。 Chrome代码库规模巨大，真正消耗时间的环节通常不是提出一个聪明想法，而是追踪成千上万条代码路径、反复编译和运行、处理大量失败样本，并从崩溃日志里筛出可利用信号。智能体恰好擅长压缩这些机械但需要推理的工作。

公开信息对人类团队规模存在一处差异：部分报道写的是“四名研究人员”，XBOW对外发布口径则称此次6天攻关由AI智能体与“一名安全研究人员”协作完成。考虑到平台研发、项目监督和直接操作可能采用不同统计范围，更稳妥的理解是，XBOW平台背后有多人提供能力与审核，但这条具体利用链的直接人机协作人数尚缺少统一口径。

六个月压缩到六天，不能简单理解成30倍

XBOW引用业内人士判断称，同类工作如果完全依靠人类，通常需要约6个月，而本次只用了6天。按自然日粗略计算，项目周期缩短约96.7%，表面上相当于把交付速度提高到约30倍。

| 指标 | XBOW此次项目 | 传统纯人工估算 | 差异 | |---|---:|---:|---:| | 完成周期 | 6天 | 约6个月 | 周期缩短约96.7% | | 漏洞数量 | 3个此前未知漏洞 | 视项目而定 | 组成完整利用链 | | 最终效果 | 逃逸Chrome沙箱并获得系统访问能力 | 同类目标 | 达到全链路利用标准 | | AI算力成本 | 约4万美元 | 未披露 | 约合26.8万元人民币 | | 漏洞赏金 | 25万美元 | 不适用 | 约合167.6万元人民币 | | 潜在影响范围 | 约10亿用户 | 不适用 | 不代表实际受攻击人数 |

“30倍提速”只能描述日历周期，不能直接等同于单位人力生产率提高30倍。 六个月是业内人士给出的经验估算，并非对同一批漏洞进行的严格对照实验；AI项目还使用了约4万美元算力，并依赖XBOW已有的漏洞研究平台、自动化工具链和专家经验。不同浏览器版本、漏洞类型及利用稳定性要求，也会让项目周期出现数量级差异。

这笔项目的账仍然相当醒目：25万美元赏金减去4万美元模型算力成本后，账面差额为21万美元，约合140.8万元人民币。不过，这一数字没有扣除研究人员薪酬、平台研发成本、测试基础设施、合规审核以及此前失败项目的投入，因此不能直接当作净利润。

真正值得关注的指标是，4万美元算力已经能够购买足以参与顶级浏览器漏洞研究的机器推理时间。 过去，算力通常只能加速模糊测试、静态分析和样本聚类；现在，大模型开始介入漏洞假设生成、跨文件代码理解和利用链拼接，安全研究的成本结构由“主要购买专家时间”变成“专家时间加可扩展算力”。

GPT-5.6 Sol不是唯一变量，智能体工程才是放大器

XBOW此前曾表示，同一个GPT-5模型在独立测试中的网络安全能力并不突出，但接入其自主渗透测试平台后，真实任务表现提高超过一倍。这个结论说明，基础模型决定能力上限，工具调用、上下文管理、任务拆解、反馈循环和失败恢复机制则决定能力能否真正落地。

智能体编排是把模型、执行工具、记忆系统和任务反馈连接成可持续工作流的工程方法。 对漏洞研究来说，一个有效的智能体系统至少要能定位代码、构建目标、启动调试器、保存崩溃现场、比较多轮结果，并避免在已经证明无效的方向上反复消耗资源。只把整个Chrome源码塞进长上下文，并不会自动产生一条可靠的利用链。

| 维度 | 通用聊天模型 | 安全研究智能体 | 人类安全专家 | |---|---|---|---| | 代码理解 | 能解释局部代码 | 可跨文件检索并持续验证 | 擅长建立系统级心智模型 | | 工具执行 | 通常需要人工操作 | 可自动编译、测试和分析结果 | 能处理复杂异常与环境问题 | | 搜索吞吐量 | 低到中 | 高，可并行探索大量假设 | 较低，但方向判断更准确 | | 利用链设计 | 容易停留在概念层 | 能迭代概念验证和初版利用 | 擅长策略设计与可靠性打磨 | | 风险控制 | 依赖平台限制 | 依赖权限、审计和运行隔离 | 能承担最终责任与合规判断 | | 典型短板 | 缺少持续行动闭环 | 可能误判、浪费算力或产生危险输出 | 时间昂贵且难以规模化 |

GPT-5.6 Sol与面向高风险网络安全工作的GPT-5.6-Cyber也不应混为一谈。前者是XBOW此次公开点名使用的前沿模型之一；后者则被描述为基于GPT-5.6 Sol进一步训练的专业安全模型，重点覆盖漏洞发现、利用验证和攻击链构建，并通过受控计划向获批研究人员开放。现有披露没有证明这次Chrome完整利用链由GPT-5.6-Cyber单独完成，因此把两者直接画等号并不准确。

AI把漏洞研究从手工作坊推向算力密集型生产

这次事件意味着，高端漏洞研究开始出现一条更接近工业化的生产线。过去的自动化扫描器擅长发现已知模式，例如危险函数、错误配置和常见Web漏洞，但面对Chrome这类大型原生代码项目，通常很难完成从异常行为到稳定利用的最后几步。大模型的价值，是能够在非结构化证据之间建立联系，并根据执行反馈修改下一轮行动。

零日漏洞是尚未被软件维护者修复、用户也缺少有效补丁的未知安全缺陷。 XBOW串联的三个漏洞在报告时均属于此前未知问题，这使该项目比复现公开漏洞或完成靶场题目更有说服力。基准测试可以提前准备标准答案，真实零日研究则没有答案可抄，模型必须面对不完整文档、错误假设和大量无效尝试。

AI带来的第一重变化是研究覆盖率上升。人类研究员会基于经验主动放弃大量看起来不值得追踪的代码路径，而智能体能够以较低边际成本继续试验；当并行智能体数量增加后，一些过去因为“太费时间”而被忽略的边角状态，也可能得到系统检查。

AI带来的第二重变化是漏洞窗口进一步缩短。防守方可以用智能体检查补丁、寻找同类缺陷并验证修复，攻击者也可能用相似技术分析版本差异，从更新包中反推漏洞位置。浏览器厂商过去按天计算的补丁部署压力，未来可能进一步压缩到小时级。

AI带来的第三重变化是安全人才结构发生改变。能够手工完成每一步利用开发的人依然稀缺，但企业更需要懂底层安全、又能设计智能体任务和审查机器输出的复合型研究员。人的价值不会消失，而会从重复搜索迁移到目标选择、证据判断、利用可靠性和风险治理。

防守方占先，但能力扩散风险已经摆上台面

XBOW此次遵循负责任披露流程，并在漏洞修复后公开结果，因此这是一项防御性安全成果。谷歌愿意支付25万美元，也说明厂商认可完整利用链的稀缺性和实际风险，并试图用高额赏金把研究成果留在合规披露体系内。

负责任披露是研究人员先向软件厂商秘密报告漏洞、给予修复时间，再在风险降低后公开技术信息的协作机制。 这一机制在AI时代会更加重要，因为智能体不仅能发现漏洞，也能降低漏洞复现和利用开发的门槛；披露过早可能让补丁尚未覆盖的用户面临更高风险。

这项成果同时暴露了一个难以回避的问题：如果一个受控团队能用4万美元算力和不到一周时间完成浏览器沙箱逃逸，那么资金更充足的攻击组织同样会尝试复制这套方法。模型厂商可以限制高风险能力访问，但基础模型、开源工具、调试环境和自动化框架的组合仍会持续进步，单纯依赖模型拒答并不足以建立长期防线。

未来更可行的治理方式，是把身份验证、任务授权、运行环境隔离、操作日志和漏洞披露流程绑定在一起。对于能生成真实利用代码的专业模型，平台需要知道“谁在什么授权范围内测试哪个目标”，而不能只根据单条提示词判断意图；对于企业内部部署，也需要限制智能体接触生产凭据和外部网络的范围。

对Chrome用户和开发者意味着什么

普通用户当前最重要的动作仍然是立即更新Chrome，而不是研究这条利用链的细节。XBOW确认三个漏洞均已被谷歌修复，保持自动更新开启并重启浏览器，才能让已经下载的新版真正生效；使用Chromium内核的其他浏览器，也应检查各自厂商是否已经合入对应修复。

企业安全团队需要重新评估浏览器补丁的优先级。浏览器位于邮件、文档、SaaS系统和内部管理后台的共同入口，一条无需额外下载或点击的完整利用链，可能绕过传统的终端使用规范。对于高价值账号，缩短浏览器更新宽限期、隔离高风险网页访问并加强终端行为检测，会比单纯提醒员工“不要点陌生链接”更有效。

软件开发团队则应该把AI代码审计前移到开发阶段。既然攻击侧智能体可以持续搜索复杂状态组合，防守侧就不能只在版本发布前进行一次集中扫描；更合理的做法是让自动化安全代理跟随代码提交运行，把异常路径、内存安全问题和补丁回归测试纳入持续集成流程，再由专家处理高风险结果。

这不是“AI黑客取代人类”，而是漏洞研究开始规模化

XBOW的成绩证明，前沿模型已经能参与真实世界最高难度的一类安全任务，但现阶段最有效的形态仍是人机协作。AI没有替代研究策略、责任判断和结果验收，却显著扩大了每名专家能够探索的代码空间，并把大量等待、搜索和试错转移给机器。

这次事件的行业意义可以归纳为三点：

1. 能力跨过真实性门槛。 三个未知漏洞、完整沙箱逃逸、谷歌25万美元赏金，比单纯跑分更能证明实际价值。
2. 成本进入可采购区间。 4万美元算力并不便宜，但对大型安全团队、浏览器厂商和高价值软件供应商而言已经可以接受。
3. 攻防节奏继续加快。 当半年级研究被压缩到周级，厂商的代码审计、补丁开发和版本部署都必须同步提速。

最终决定胜负的不会只是哪个模型“更会找漏洞”，而是谁能把模型、工具链、专家经验和披露机制组合得更稳。XBOW用6天打穿Chrome沙箱，是AI安全研究效率再次跃迁的标志；它同时也是一个清晰警告——防守方获得了更强工具，但留给所有人的修复时间也正在变短。

参考来源

• IT之家：XBOW借助GPT-5.6 Sol攻破Chrome浏览器安全沙箱，获谷歌25万美元奖励 —— 汇总XBOW项目周期、算力成本、漏洞数量、潜在影响范围及谷歌赏金等公开信息。