共计 1040 个字符，预计需要花费 3 分钟才能阅读完成。
XBOW 借助 GPT-5.6 Sol 模型攻破 Chrome 浏览器安全沙箱, 获谷歌 25 万美元奖励
Chrome 的安全沙箱被一支四人团队在六天内攻破 。安全研究团队 XBOW 披露, 他们借助 OpenAI 的 GPT-5.6 Sol 等模型构建了一套完整的浏览器漏洞利用链, 相关漏洞已报告谷歌并完成修复, 谷歌为此支付了 25 万美元赏金。
📌 事件概览: 从发现到修复的一条时间线
按 XBOW 的说法, 这项研究的推进方式与传统安全团队明显不同 。项目启动阶段,AI 先承担 Chrome 源代码的检索与思路验证; 进入中段, 它开始搭建概念验证程序, 并写出漏洞利用程序的初始版本; 到第六天, 团队已经拿到系统的完全访问权限。
此后流程回到常规轨道: 漏洞被提交给谷歌, 谷歌完成修复 , 并给出 25 万美元奖励, 按现汇率约合 167.6 万元人民币。XBOW 表示, 他们一共发现三个漏洞, 目前均已被修复。
🔍 AI 做什么, 人做什么
这次研究并不是“AI 自主攻破浏览器”那么简单。XBOW 给出的分工是:
- AI 一侧: 搜索 Chrome 源代码、测试想法、构建概念验证程序、编写漏洞利用程序的初版;
- 人一侧: 制定整体策略、决定研究方向、检查智能体产出, 并根据最初的测试结果调整后续行动。
换句话说, 模型更像被反复调用的执行与探索工具 , 方向判断仍掌握在研究人员手中。团队在这项研究中投入的算力成本约为 4 万美元, 约合 26.8 万元人民币。
💡 从六个月到六天: 前后变化值得关注
最直观的变化在时间尺度上。 据业内人士说法 , 类似的全链路漏洞研究工作如果全部由人类完成, 大约需要六个月。而在这次项目中, 四名研究人员加上模型, 把周期压缩到了六天。
同一类安全研究, 过去以“月”为单位排期, 如今已经进入以“天”计量的节奏。
需要说明的是, 这只是单个案例 , 不能简单推导为所有漏洞研究都会等比例提速。模型能力、目标复杂度与团队经验, 都会影响最终结果。
📊 影响与看点
- 对厂商: 漏洞被发现的速度可能加快, 修复与响应节奏面临更高要求;
- 对安全团队: 人机协作的分工方式正在成型, 研究员的角色更偏向策略制定与成果审核;
- 对普通用户: 最直接的行动仍是保持浏览器为最新版本。
XBOW 也特别提醒用户 , 务必确保 Chrome 已更新到最新版本, 因为这三个漏洞都已被谷歌修复。
🚀 总结
这起事件的价值不只在 25 万美元赏金 , 更在于它展示了一种新的研究节奏:AI 承担大量搜索、验证与初版代码工作, 人类负责方向与把关。效率提升的另一面, 是防守方同样需要跑得更快。
