六天攻陷 Chrome 沙箱：AI 辅助发现影响十亿用户的零日漏洞链
安全初创公司 Xbow 的研究团队利用 OpenAI 的 GPT-5.6 Sol 模型，成功串联起 Google Chrome 浏览器中的三个零日漏洞，构建出一条可在 Windows 平台上突破浏览器沙箱并执行任意代码的攻击链。Xbow 估计，该漏洞组合可能波及全球约 10 亿用户。
谷歌已修复全部三个漏洞，并向 Xbow 团队支付了 25 万美元赏金。这是谷歌针对 Chrome 全链攻击提供的最高奖励额度。此次行动由 Brendan Dolan-Gavitt、Andres Luksenberg、Baul Lee 和 Willem Pinckaers 四名研究人员主导，他们在 Black Hat 和 DEF CON 会议期间仅花费六天时间，投入约 4 万美元的 Token 费用，便完成了从漏洞发现到攻击链构建的全过程。
Xbow 首席执行官兼创始人 Oege de Moor 在周二表示：“支票上的数字令人印象深刻，但我们的团队借助公开可用的 AI 模型攻破系统所耗费的时间更令人震惊。”他提到，一位来自情报机构的资深人士透露，其团队过去通常需要六个月才能识别此类漏洞并获得完全访问权限，而此次人类与 AI 协作的效率显著提升了这一过程。
人机协作模式：AI 负责搜索与验证，人类负责决策
在关于该攻击链的技术报告中，Dolan-Gavitt 详细阐述了人类研究员与 AI 代理的合作分工。OpenAI 的 GPT-5.6-Sol 模型驱动的 AI 代理主要承担源代码搜索、假设测试以及概念验证（PoC）和攻击阶段的开发工作。
与此同时，Xbow 的人类研究人员则负责选择攻击目标、提供上下文信息、质疑 AI 生成的结果，并决定哪些攻击组件可以串联起来形成完整链条。“我们确实运用了相当多的人类专业知识和判断力，”Dolan-Gavitt 写道。
三步跨越两道安全边界
Chrome 浏览器采用多层安全机制保护用户，核心包括 V8 JavaScript 引擎的沙箱隔离以及操作系统进程沙箱。V8 沙箱旨在防止引擎内的内存损坏缺陷影响其他内存区域，且位于外层进程沙箱内部。这种嵌套设计意味着，即使攻击者突破了 V8 的内存限制，也不自动获得原生代码执行权限；即便在渲染器内实现原生代码执行，外层进程沙箱仍会限制对计算机其余部分的访问。
Dolan-Gavitt 指出，此次攻击链通过三个阶段跨越了这两道边界，最终实现在 Windows 机器上运行代码。攻击结合了以下三个具体漏洞：
- V8 Maglev 编译器 Bug：源于去优化过程中复用的可变装箱数值，使攻击者能够在 V8 指针压缩笼内进行读写操作。
- 动画 WebP 解码器 Bug：作为 V8 沙箱逃逸的关键环节。Dolan-Gavitt 解释道：“我们并非直接攻击沙箱本身，而是利用了 V8 沙箱故意不强制执行、且 Blink 错误地认为可以信任的一个特性。”
- Crashpad 内存安全 Bug：利用 Crashpad 中的溢出问题跨越最终的外层进程边界，从而在主机上实现无沙箱的代码执行。
防御建议与门槛降低警示
虽然谷歌已修补所有三个安全问题，且 Chrome 会自动安装更新，但修复措施只有在用户重启浏览器后才会生效。目前，使用 Chrome 的用户应确保浏览器版本为 152.0.7977.82 或更高版本。
Dolan-Gavitt 总结道，实现完整的 Chrome 全链攻击所花费的时间和金钱再次表明，对于配备大语言模型（LLM）的攻击者而言，“门槛显著降低”。他呼吁业界“据此加强防御”。
