打开网易新闻 查看精彩图片

借助已修复的漏洞链，研究人员本可控制全球超10亿台运行Chrome浏览器的Windows设备。

谷歌Chrome浏览器中的一系列漏洞原本可能让研究人员控制全球多达10亿台Windows设备——而发现这一漏洞链，研究团队仅花费了4万美元的AI计算成本。

Xbow美国团队的研究人员用六天时间开发出这一漏洞利用方案，并因此获得谷歌25万美元的漏洞赏金，这也是2026年新规则实施后发放的首笔赏金。

研究人员选择使用OpenAI的GPT-5.6 Sol模型完成此次任务，意在证明即便采用公开可用的模型，而非专门针对安全领域定制的实现方案，也能达成这样的成果。他们利用该模型搜索Chrome源代码、测试思路并构建概念验证方案，而研究团队则负责制定整体策略、确定排查方向，并对模型的工作成果进行核查。

他们成功将多个漏洞串联起来，形成完整的攻击链：先突破容纳V8 JavaScript引擎的沙盒环境，随后又绕过Chrome操作系统层面的进程沙盒限制，最终实现从恶意网页内部启动Windows应用程序的效果。

Xbow已将研究发现提交给谷歌，谷歌也已针对相关漏洞完成修复。研究人员在其博客中详细披露了此次漏洞利用方案的开发全过程。