XBOW用GPT-5.6 Sol在六天内构建了一个价值250000美元的Chrome漏洞利用

事件经过

安全公司XBOW表示，该公司已从谷歌的Chrome漏洞赏金计划中赢得250000美元奖金，该消息于10月13日发布。XBOW称，这是依据谷歌于2026年4月推出的规则，首个获得的全链路Chrome漏洞奖励。谷歌是一家总部位于加利福尼亚州山景城的互联网与软件公司。

这次研究耗时六天，花费约40000美元的计算资源，团队在8月2日至7日期间构建了获奖的利用链，当时团队正身处拉斯维加斯参加Black Hat和DEF CON大会。Dolan-Gavitt与其团队使用OpenAI的大型语言模型GPT-5以及智能体完成了这项工作。该Chrome漏洞利用链串联了三个漏洞，谷歌已经修复，最终获得了250000美元的奖金。

XBOW团队在第一次尝试上花费了两个月时间，但该尝试与谷歌早已知晓的一个漏洞撞车。他们借助AI智能体（即能够执行多步骤任务、而不只是回答单一问题的AI）运行OpenAI的GPT-5.6 Sol，构建了该漏洞利用程序。

该攻击串联了三个未知的Chrome漏洞。在Windows电脑上，仅仅加载一个网页就足以在Chrome沙箱之外运行代码，无需点击或下载任何内容。

谷歌已修复全部三个漏洞，XBOW表示这些漏洞从未被用于攻击Chrome用户。据谷歌估计，在修复之前，这些漏洞曾影响约十亿名使用Windows系统Chrome浏览器的用户。

XBOW根据其使用日志估算，计算成本约为40000美元。创始人兼首席执行官Oege de Moor表示，公司特意选用了一款任何人都可以使用的模型。