一张网页，走到浏览器沙箱之外
10 月 13 日，安全公司 XBOW 公开了一次完整的 Chrome 攻击链研究：研究者从普通标签页里的 JavaScript 出发，逐层穿过 Chrome 的两道防线，最终在 Windows 上实现了渲染器沙箱之外的代码执行。演示效果是让签名版 Chrome Beta 从一个网页启动了 Windows 计算器。谷歌确认并修复了全部三个缺陷，支付 25 万美元奖励。
时间和成本是这份报告里最扎眼的两个数字。据 XBOW 说法，最终链条的搭建集中在 2026 年 8 月 2 日至 7 日，耗时六天，模型与算力开销约 4 万美元；所用模型是 OpenAI 公开可得的 GPT-5.6 Sol 及其前代版本。
需要注意措辞的分寸：这不是一个模型自己决定去攻破 Chrome。XBOW 的报告写得很清楚——AI 工具负责搜索源码、验证假设、生成概念验证与起草各环节代码，而选择目标、拆分任务、校验产出、在走不通时改方向、以及准备备用漏洞，都由研究者完成。
三环相扣：每一步都跨过一道边界
现代 Chrome 不是靠一道墙隔开网页与操作系统。JavaScript 跑在 V8 引擎里，V8 自带进程内隔离区；渲染进程又坐在一层操作系统级沙箱里。想完成一次「全链」，必须依次拿到渲染器内的控制权、越出 V8 隔离区、再逃出渲染进程。
其一落在 V8 的 Maglev 中层优化编译器上。去优化（deoptimization）过程中，Maglev 把一个可变的装箱数值当成不可变来复用，导致不同 JavaScript 对象共享同一个装箱数。改动这个值可以误导优化后的边界判断，从而在 V8 四吉字节的指针压缩区域内拿到读写能力。该缺陷编号 Chromium issue 547819997、CVE-2026-85045，在 Chrome 152.0.7977.82 中修复。
第二环落在动图 WebP 解码上。研究者在 Chrome 认为传输缓冲区已归图像解码器独占之后，仍保留了一份可用的数据视图，并在恰当时机把一张合法动图换成另一张。Blink 于是把先缓存的帧几何与后替换的像素数据拼在一起，形成堆上越界写；这被塑造成一次可控的 64 位写入，越出 V8 隔离区，进而重定向 WebAssembly 的代码指针。公开材料未给出这一环的独立 CVE 编号。
第三环是 Crashpad，Chrome 的崩溃上报组件，运行在渲染器沙箱之外。Windows 允许以特定标志创建的线程绕过进程冻结，攻击者借它在 Crashpad 的两次读取之间改动页面保护属性，让一次失败读取的重试变成超长读取，最终破坏相邻对象、在渲染进程之外落地执行。该环节对应 CVE-2026-78952，已在 Chrome 152.0.7977.65 修复。
25 万美元的分量，与它的对照系
25 万美元是谷歌 Chrome 漏洞奖励计划在 2026 年 4 月引入规则后给出的全链上限，8 月 31 日由奖励小组批准。作为参照，漏洞经纪商 Crowdfense 对桌面端 Chrome 零日全链的报价最高可达 150 万美元，是这笔奖励的六倍。
真正的变化发生在经济学上。过去一条成熟浏览器全链需要一支资金充足的团队和数月时间；这一次是六天和约 4 万美元的模型开销。XBOW 创始人 Oege de Moor 的背景能说明这家公司为什么在做这件事：他在牛津当了二十多年计算机科学教授，创办了代码分析公司 Semmle，该公司 2019 年被 GitHub 收购，此后他参与了 GitHub Copilot 的创建。他的判断很直接——能写代码的模型，也能找出代码里的漏洞。
官方评级与「人仍在环」
关于模型能力本身，OpenAI 把 GPT-5.6 Sol 评为网络安全能力偏高但低于其关键阈值的档位；其部署前评估认为，该模型无法独立完成针对加固软件的可用全链漏洞。XBOW 这次的结果与这一评级并不矛盾——链条的每一环都有人类研究者提供技术路线与阶段性校验，团队还因其中一个缺陷已被报告而过早替换过整条链，靠模块化设计换了备用缺陷顶上。
XBOW 估算修复前受影响用户约 10 亿，并称未发现在野利用。这两项均为公司口径。XBOW 同时预测智能体一年内可能独立发现同类缺陷，这个预测目前没有任何验证。
对开发者意味着什么
把视角从 Chrome 移开，更有价值的结论落在内存安全上：三个环节中有两个位于解析不可信输入的 C/C++ 组件——V8 的编译器与图像解码器。图像库、媒体管线与原生扩展里到处都是同一类代码。如果一支小团队用现成模型就能在一周内产出全链，那么 AI 辅助的模糊测试与漏洞生成会显著压缩「缺陷存在」到「可用攻击」之间的窗口。
对防守方的现实建议也就两条：补丁节奏要按天而不是按月规划，把 AI 辅助的内部红队纳入常规预算；同时，所有接收不可信输入的原生解析代码，都该按「迟早会被自动工具翻出来」的前提重新排优先级。