XBOW 智能体借 GPT-5.6 Sol 六天构建 Chrome 全链漏洞：V8 与 Crashpad 组合突破沙箱获 25 万美元赏金

AI 安全公司 XBOW 利用 OpenAI GPT-5.6 Sol 模型驱动的自主智能体，在仅耗时 6 天、算力成本约 4 万美元的情况下，成功构建了针对 Chrome 浏览器的全链路漏洞利用程序。该成果不仅获得了 Google 根据 2026 年新规颁发的首笔 25 万美元全额链条赏金，更标志着 AI 驱动的高级漏洞挖掘速度相比传统人类团队（需 6-9 个月）提升了两个数量级，显著降低了技术门槛。

多方信源交叉验证显示，该攻击链巧妙结合了 V8 编译器 bug、动画 WebP 解码器 bug 和 Crashpad 内存安全 bug 三个独立漏洞，实现了从普通网页到逃逸渲染器沙箱并执行任意代码的突破。在此过程中，GPT-5.6 智能体自主完成了代码搜索、假设测试与利用阶段起草等繁琐工作，而四名人类研究员则负责战略决策、目标选择及上下文供给，这种“人机协作”模式极大压缩了复杂代码审计的时间成本。

这一事件对网络安全生态产生了深远影响，迫使防御方重新评估现有安全边界的有效性。Google 已确认修复相关漏洞并提醒用户立即更新 Chrome 至最新版本。同时，该案例验证了 AI 辅助高级漏洞挖掘的商业价值，预示着未来网络攻防将进入以 AI 智能体为核心效率引擎的新阶段，传统依赖人力堆砌的安全研究范式正面临颠覆性挑战。