Xbow花费4万美元用AI发现Google Chrome重大漏洞

事件经过

Xbow USA的研究人员花了六天时间开发该漏洞利用程序，因此从谷歌获得了25万美元的漏洞赏金，这也是新的2026规则下的首笔赏金。他们选择了OpenAI的GPT-5（OpenAI开发的大型语言模型）.6 Sol来完成这项任务，以展示公开可用的模型在不依赖专业安全定制方案的情况下能做到什么。谷歌是一家总部位于山景城的互联网与软件公司，其产品和服务包括谷歌搜索。

他们成功串联了多个漏洞，先从包含V8 JavaScript（一种高级编程语言）引擎的沙箱中逃逸，再从Chrome的操作系统进程沙箱中逃逸，并从一个恶意网页中启动了一个Windows应用程序。Chrome浏览器中的一系列漏洞原本可能让研究人员控制全球十亿台Windows设备，而发现这些漏洞只花费了他们4万美元的AI计算时间。

他们利用AI搜索Chrome的源代码、测试想法并构建概念验证程序，而研究人员负责制定策略、选择排查方向并检查AI的工作成果。Xbow将研究结果报告给谷歌，谷歌随后修复了这些缺陷。