Chrome 全链漏洞这次被攻破的速度，值得每一位浏览器用户警觉。2026 年 10 月 13 日，自主进攻安全公司 XBOW 通过 Business Wire 发布新闻稿宣布：其研究员 Brendan Dolan-Gavitt 与基于 OpenAI GPT-5.6 Sol 的智能体协作，只用 6 天就拼出一整条可用的 Chrome 攻击链，获得 Google Chrome 漏洞奖励计划 25 万美元赏金。这是 Google 2026 年新规则下的首个全链奖项，也是这类奖项第一次发给一个自主进攻安全平台。
三个单看都不致命的漏洞，怎么串成一条链
这条链跨过了两道沙箱边界，分三步走。第一步，Chrome 的 JavaScript 引擎 V8 中的一个漏洞让攻击者先在引擎沙箱内部控制内存；第二步，动态 WebP 图像解码器中的漏洞（CVE-2026-85045）捅破这层沙箱，在原生内存里完成一次精确写入；第三步，运行在沙箱之外的崩溃处理组件 Crashpad 中的漏洞（CVE-2026-78952）把这次写入变成完整的代码执行。最终效果是：用户只要打开一个普通网页，沙箱之外的程序就可能被启动，不需要下载任何文件，也不需要多点一下。XBOW 称，修复之前，全球 Windows 版 Chrome 用户中估计有约 10 亿人处在这类漏洞的影响路径上。三个漏洞均已通过官方渠道报告，Google 工程师复现并确认了整条链、发布了修复，公开记录显示这些漏洞从未被用于攻击真实用户。
6 天和约 4 万美元，改写的是攻防账本
过去构建同等级别的浏览器全链攻击，通常要花几个月时间。这次 XBOW 估算，成功这条链的算力成本约为 4 万美元，时间被压缩到 6 天。XBOW 创始人兼首席执行官 Oege de Moor 在新闻稿中提醒，单独看甚至算不上高危的漏洞，如今能被快速串成高危攻击路径，进攻方已经在以这种速度工作，防守方必须跟上同样的节奏去提前发现可利用的路径。OpenAI 网络安全研究负责人 Clint Gibler 则表示，希望把这类能力交到更多防守者手里，去保护人们每天依赖的软件。XBOW 还表示，这笔奖金将用于继续为非政府组织提供安全支持。
普通用户和团队现在该做什么
对个人用户来说，动作只有一个，但要做及时：Chrome 出现更新提示时尽快重启浏览器完成更新，不要让待更新状态挂上几周。对企业安全团队来说，这件事的信号更具体：漏洞评估不能再只按单个漏洞的评级排优先级，还要评估手头的中低危问题能不能被串成链。本站此前记录的Anthropic 蒸馏防御见效、Claude 被提取的推理量大幅下降谈的是模型层面的防御提速，而这次事件说明，浏览器这类基础软件的攻防节奏同样在被智能体改写——谁先用智能体把自己的系统打一遍，谁就先拿到修复的主动权。
