当全世界数亿用户还在用Chrome安心刷网页时，一家名为XBOW的安全研究团队却干了一件足以载入史册的事——他们让人工智能代理在六天内自主构建出一条完整的Chrome浏览器漏洞利用链，硬生生从谷歌手里拿走了25万美元的顶级赏金。更令人咋舌的是，这场"AI攻陷浏览器"大戏的全部计算成本，不过4万美元。

2026年10月13日，XBOW正式对外披露了这项漏洞利用工作。整条攻击链环环相扣，连续调用三个漏洞，把原本只能困在Chrome标签页里的JavaScript代码，一路突破到浏览器渲染沙箱之外，实现了真正意义上的本地代码执行。XBOW估算，这类问题一旦在野外被滥用，潜在影响面可能覆盖全球约10亿用户，而此次演示的目标平台锁定在Windows系统上。

什么是浏览器沙箱？简单说，它是Chrome最重要的一道防线：哪怕你访问的网页藏了恶意代码，沙箱也会把它的破坏力死死限制在一个隔离区域内，防止它染指操作系统。而完整的漏洞利用链，恰恰是反其道而行——把多个看似不起眼的缺陷像多米诺骨牌一样依次推倒，层层绕过Chrome的层层防御。XBOW演示了一个精心构造的网页，成功在测试机器上启动了程序。当然，值得强调的是，这只是一次授权范围内的安全测试，并没有证据表明该漏洞已被用于攻击真实用户。

三个漏洞，三记重拳，招招打在要害上

第一个漏洞藏在Chrome的JavaScript引擎V8深处。XBOW发现，Maglev编译器存在一个缺陷，会让不同的JavaScript对象在反优化（deoptimization）过程中共享同一个可变数值。当V8从高度优化的代码退回执行效率较低的路径时，这个悄悄被改动的数值就会"骗过"优化后的代码逻辑，攻击者借此得以窥视甚至操纵V8受保护区域内的内存。

第二个缺陷瞄准了日常随处可见的动画WebP图片。解码器在处理被篡改的图像数据时，竟会调用前一帧图像保存下来的帧细节——这种新旧数据的不匹配直接造成越界写入，让攻击者得以把触手伸出V8沙箱的范围之外。

第三个漏洞最为刁钻，出在Chrome的崩溃报告系统Crashpad身上。在Windows平台，Crashpad会依据内存页剩余长度重试一次失败的读取操作，但这段代码默认了一个危险假设：渲染器在这个过程中不会"变脸"。XBOW的利用程序偏偏在重试窗口内篡改了页面访问权限，结果导致沙箱之外的处理程序发生了超量读取，内存结构被破坏得体无完肤。

AI是主角，但人类没有退场

很多人好奇：这到底是AI自己干的，还是人干的？XBOW给出了一个耐人寻味的答案——研究人员全程"导演"了这场攻击。他们负责选定目标、拆解任务、验收AI产出的每一环结果，并随时准备好Plan B。事实上，当谷歌反馈链条中的某个漏洞此前已被他人报告后，团队凭借模块化设计从容替换掉了那一环；而整条最终攻击链，正是在2026年8月2日至8月7日之间开发完成的。值得一提的是，本次项目使用的是OpenAI公开提供的GPT-5.6 Sol模型，而三个漏洞目前均已被谷歌修复。

为什么谷歌愿意开出25万美元的天价？根据Chrome漏洞奖励计划的规则，这笔奖金专门针对能够利用当前版本Chrome网页内容的完整漏洞利用链，获奖者必须提交可复现的演示并承诺负责任地进行测试。这笔钱的本质，是奖励主动上报的漏洞与研究者，而不是为任何已发生的用户设备入侵买单。

给普通用户的一句话提醒，给行业的一记警钟

对于你我这样的普通用户，能做的事情其实很简单：始终保持Chrome更新到最新版本，并且在更新提示出现后记得重启浏览器。这一条朴素的建议，至今仍是抵御绝大多数浏览器攻击的最有效手段。

而把目光放远，这件事真正值得玩味的地方在于：AI正在把发现复杂漏洞的周期从"月"压缩到"天"。在此之前，XBOW的AI代理还曾发现过Linux内核漏洞，Chrome也在频繁更新中修复过大量安全问题。对于软件团队而言，与其等待攻击者先动手，不如主动把这些智能工具引入自身的安全测试流程——只是别忘了，人工审核与修复协调，依然应该是安全体系中不可动摇的基石。