XBOW称研究人员借助GPT-5.6 Sol构建Chrome完整攻击链并获谷歌25万美元奖励

网络安全公司XBOW 10月13日宣布，其一名安全研究人员在OpenAI GPT-5.6 Sol模型及AI智能体协助下，用6天时间构建出由3个此前未知漏洞组成的Chrome完整攻击链，并获得谷歌25万美元漏洞奖励，为谷歌2026年新规则下首个Chrome全链路奖励。该攻击链首先利用V8 JavaScript引擎漏洞取得沙箱内存控制，再通过Chrome动态WebP解码器漏洞CVE-2026-85045突破沙箱，最终借助运行于沙箱外的Crashpad漏洞CVE-2026-78952实现完整代码执行，仅需用户加载网页即可触发，无需额外下载或点击。XBOW称，这类漏洞在修复前理论上影响全球约10亿Windows版Chrome用户，整个研究过程估算消耗约4万美元算力。相关漏洞已上报谷歌并完成修复，XBOW称没有证据表明这些漏洞曾被用于实际攻击。