XBOW借GPT-5.6 Sol六天攻破Chrome全链漏洞 谷歌奖25万美元

2026-10-13，AI驱动攻击性安全公司 XBOW 在官网博客正式公开一起 Google Chrome 全链漏洞（full-chain exploit）的细节：漏洞让攻击者仅通过用户访问网站就远程接管 Windows 机器，影响全球约 10 亿 Chrome 用户。Google 已修复漏洞并向 XBOW 团队支付 25 万美元漏洞奖金——这是 2026 年 Google 新规下首个 Chrome 全链奖金，也是 Chrome 历史上第二次颁发此类奖项。 XBOW 由 GitHub Copilot 创始人 Oege de Moor 创办，团队包含 Brendan Dolan-Gavitt、Andres Luksenberg、Baul Lee、Willem Pinckaers 四位研究员。漏洞利用构建耗时仅 6 天，算力成本 4 万美元（约奖金的 1/6）。传统情报机构方法约需 6 个月。XBOW 强调使用的是 OpenAI 公开通用模型 GPT-5.6 Sol——不是受限或专用安全模型，互联网上任何人都可调用。 工作流上，AI 搜索 Chrome 源代码、测试攻击思路、构建 PoC、写漏洞利用初稿；人类研究员定战略、决定攻击方向、校核 AI 输出、根据结果调向。关键工程决策是把全链拆成三个独立部分（每部分都有备选方案），首次提交时 Google 已知道其中一个 bug，团队直接用备用链路完成替换。 XBOW 公开故事同日，OpenAI 发布 Daybreak 安全扩展与 GPT-5.6-Cyber——基于 GPT-5.6 Sol、专门为防御者优化的网络安全模型。OpenAI 表示已用该模型发现 Chrome V8 引擎两个此前未知漏洞，并将其开放给通过审核的防御者使用。 ## 参考来源 1. XBOW 官方博客: https://xbow.com/blog/xbow-built-a-chrome-full-chain-exploit 2. Greg Brockman（OpenAI 主席）X 转发: https://x.com/gdb/status/2110063893016096831 3. Forbes: https://www.forbes.com/sites/the-wiretap/2026/10/13/how-an-off-the-shelf-openai-model-found-three-google-chrome-zero-days/ 4. The Decoder: https://the-decoder.com/openai-launches-gpt-5-6-cyber-to-help-defenders-find-vulnerabilities-before-attackers-do/ 5. OpenAI 官方博客（Daybreak）: https://openai.com/index/expanding-daybreak-as-the-cyber-defense-window-narrows/ 6. NatLawReview: https://natlawreview.com/press-releases/xbow-rewarded-exploit-affecting-billion-users 7. Sequoia 资本 Training Data 播客: https://sequoiacap.com/podcast/training-data-oege-de-moor 8. AFP / MediaConnect: https://www.afp.com/en/infos/xbow-earns-second-fast-company-honor-2026-next-big-things-tech-win 9. OpenAI X 官方（GPT-5.6-Cyber）: https://x.com/OpenAI/status/2086864372500942906 10. EdTech Innovation Hub: https://www.edtechinnovationhub.com/news/openai-gives-approved-defenders-an-ai-model-built-for-high-risk-cyber-work 11. Penligent（GPT-5.6 Cyber 评测）: https://www.penligent.ai/hackinglabs/gpt-5-6-cyber-for-penetration-testing/