XBOW 用 GPT-5.6 Sol 六天构造 Chrome 全链漏洞获 $250,000 赏金

这是谷歌 Chrome 有史以来第二次为全链漏洞利用颁发 25 万美元赏金……获奖者是 @XBOW。以下是完整的故事：

2026 年初在马耳他举行的一次全员大会上，我给团队设下了一个疯狂的挑战：在 8 月年度 Black Hat 网络安全大会之前，完成对 Chrome 的全链漏洞利用。

我相信，这能很好地检验 @XBOW 能否从 Web 应用拓展到桌面软件、服务器和设备领域。

Chrome 是全球加固最严密的软件之一，全球一半以上的人口都在使用它。

全链漏洞利用能让攻击者完全控制一台机器，读取用户输入的每一封邮件、每一个密码和每一次银行登录信息。你不需要下载任何东西，也不需要点击钓鱼链接，只要访问了错误的网站就足够了。

于是 @moyix、Andres Luksenberg、Baul Lee 和 Willem Pinckaers 与第五位队友——OpenAI 的 GPT-5.6 Sol 一起接受了挑战。

他们构建了一条他们认为能获胜的利用链，但谷歌告诉我们，他们已经知道其中一个漏洞了。

我们当时已经身在拉斯维加斯参加 Black Hat 和 DEF CON，团队不想空手而归。

于是 Brendan 和这些智能体（agents）在短短 6 天内构建了一个新的漏洞利用。

我们把它提交给了谷歌，然后等待。

消息传来：我们做到了本应不可能的事。25 万美元的全链赏金，这是根据谷歌 2026 年新规颁发的第一笔。

仅用 6 天时间和 4 万美元的算力，就构建出了一个影响 Windows 上十亿 Chrome 用户的漏洞利用。一位情报机构资深人士告诉我，他的团队过去处理这类漏洞需要 6 个月。

我的感悟是：发现真正关键漏洞的成本正在崩塌，对攻击者和防御者来说都是如此。限制强大模型并不是答案；GPT-5.6 Sol 已经公开了。

但防御者拥有一个攻击者永远不具备的优势：他们可以先测试自己的代码。

假设你的软件是可被利用的。正在猎取你漏洞的人，拥有和我们一样的构建模块。

这是紧迫的理由，但不是恐慌的理由。

XBOW 正在开发一款用于测试编译后软件（桌面应用、服务器、嵌入式设备）的自主产品，并与全球顶尖机构合作设计这款产品。

如果你想成为其中之一，请联系我们。

附言：每当 Chrome 出现“更新”按钮时，请重启浏览器！