XBOW 借助 GPT-5.6 Sol 模型攻破 Chrome 浏览器安全沙箱，获谷歌 25 万美元奖励

10月14日，IT之家消息称，安全研究团队XBOW发现并构建了一套针对Chrome浏览器的全链路漏洞利用程序，预计影响全球约10亿用户。相关漏洞已报告给谷歌并完成修复，谷歌向该团队支付25万美元漏洞赏金，按现汇率约合167.6万元人民币。这一事件凸显AI在网络安全攻防中的新角色。

Chrome是全球用户量最大的浏览器之一，安全沙箱是其核心防护机制，旨在隔离网页进程与系统资源。XBOW称，他们借助OpenAI的GPT-5.6 Sol等模型，并投入四名研究人员，仅用6天便攻破Chrome漏洞并获得系统完全访问权限。有业内人士表示，类似工作若全部由人类完成，大约需要6个月。

该团队在研究过程中投入的算力成本约为4万美元，按现汇率约合26.8万元人民币。AI主要负责搜索Chrome源代码、测试想法、构建概念验证程序，并编写漏洞利用程序的初始版本。团队成员则负责制定整体策略、决定研究方向、检查智能体工作成果，并根据最初测试结果调整智能体行动。

XBOW发现的三个漏洞均已被谷歌修复，目前相关漏洞已报告给谷歌并已修复。团队提醒广大用户，务必确保Chrome浏览器为最新版本，以降低潜在安全风险。对于覆盖约10亿用户的Chrome而言，沙箱被攻破可能带来严重后果，但相关漏洞目前已得到处理。

此次事件显示，大模型正被用于自动化漏洞挖掘与利用开发，可能显著缩短安全研究周期。AI与人类专家协作的模式，既能提升效率，也带来新的攻防挑战。业内需要关注AI辅助攻击的门槛变化，以及防御方如何利用类似技术加强安全。

谷歌通过漏洞赏金获得关键漏洞信息并完成修复，表明厂商与安全研究团队的合作仍具价值。XBOW的案例或推动更多机构探索AI驱动的安全测试，但也可能引发对模型滥用风险的讨论。未来，浏览器安全与AI安全治理或将更紧密地交织。