Greg Brockman 转述 XBOW 团队借助 OpenAI 的 GPT-5.6 Sol，用 6 天和 40000 美元算力找到 Chrome 关键漏洞，获 Google 2026 年规则下首笔 250000 美元全链漏洞赏金，影响约 10 亿 Windows Chrome 用户。被引用的原文称有情报机构老兵的团队过去需约 6 个月做同类漏洞，作者认为攻防双方发现关键漏洞的成本都在坍缩，防守方可先用这些工具测试自己的代码。
用 GPT-5.6 Sol 花费 6 天和 40,000 美元算力，在 Chrome 中发现了一个严重漏洞，并声称这是 Google 在 2026 年针对一个预计影响约 10 亿用户的漏洞颁发的首个全链路奖励。
这凸显了防御方利用这些工具将软件安全提升到前所未有水平的机会：
这是谷歌 Chrome 历史上第二次，谷歌为一条全链漏洞利用支付了 25 万美元赏金……给了 @XBOW。以下是完整故事： 2026 年初在马耳他的一次全员大会上，我给团队定下了一个疯狂的挑战。在 8 月年度 Black Hat 网络安全大会之前，完成一次对 Chrome 的全链漏洞利用。 我相信，没有比这更好的测试，能检验 @XBOW 是否能从 Web 应用扩展到桌面软件、服务器和设备。 Chrome 是地球上加固最严密的软件之一，全球超过一半人口都在使用。 全链漏洞利用能让攻击者完全控制一台机器，读取用户输入的每一封邮件、每一个密码和每一个银行登录信息。你不需要下载任何东西，也不需要点击钓鱼链接。访问错误的网站就够了。 于是 @moyix、Andres Luksenberg、Baul Lee 和 Willem Pinckaers 接下了这个挑战，还有第五位队友：OpenAI 的 GPT-5.6 Sol。 他们构建了一条自认为能获胜的利用链，但谷歌告诉我们，其中一个漏洞他们已经知道了。 当时我们已经身在拉斯维加斯参加 Black Hat 和 DEF CON，团队不想空手而归。 于是 Brendan 和智能体们仅用 6 天就构建了一个新的漏洞利用。 我们把它提交给谷歌，然后等待。 消息传来，我们做到了本应不可能的事。25 万美元的全链赏金，这是谷歌 2026 年规则下颁发的第一笔。 仅用 6 天和 4 万美元算力，就构建出一个影响 Windows 上十亿 Chrome 用户的漏洞利用。一位情报机构资深人士告诉我，他的团队过去要花 6 个月研究这类漏洞。 我的结论是：发现真正关键漏洞的成本正在崩塌，对攻击者和防御者都是如此。限制强大的模型不是答案；GPT-5.6 Sol 已经公开了。 但防御者拥有攻击者永远不会有的一项优势：他们可以先测试自己的代码。 假设你的软件可被利用。追猎你漏洞的人，拥有和我们一样的构建模块。 这值得紧迫对待，但不必恐慌。 XBOW 目前正在开发一款用于测试编译型软件（桌面应用、服务器、嵌入式设备）的自主产品，并与全球顶尖组织合作设计该产品。 如果你想成为其中之一，请联系我们。 附言：每当更新按钮出现时，就重启 Chrome！
原文
For the second time in Google Chrome’s history, Google awarded a $250,000 bounty for a full-chain exploit… to @XBOW. Here’s the full story: At an all-hands at the start of 2026 in Malta, I set the team a crazy challenge. A full-chain exploit of Chrome by the annual Black Hat cybersecurity conference in August. I believed there were few better tests of whether @XBOW could move beyond web applications to desktop software, servers and devices. Chrome is one of the most hardened pieces of software on the planet, used by more than half the world’s population. A full-chain exploit lets an attacker take total control of a machine, where they can read every email, password and bank login the user types. You don’t need to download anything or click a phishing link. Visiting the wrong site is enough. So @moyix, Andres Luksenberg, Baul Lee, and Willem Pinckaers took on the challenge along with a fifth teammate: OpenAI's GPT-5.6 Sol. They built a chain they thought would win, but Google told us they already knew one of the bugs. We were already in Las Vegas for Black Hat and DEF CON, and the team didn’t want to go home without the win. So Brendan and the agents built a new exploit in just 6 days. We submitted it to Google and waited. The news came through that we'd done what should’ve been impossible. A full-chain bounty of $250,000, the first awarded under Google’s 2026 rules. It took just 6 days and $40,000 of compute to construct an exploit that affects a billion users of Chrome on Windows. An intelligence-agency veteran told me his team used to spend 6 months on this kind of vulnerability. My takeaway: the cost of finding truly critical vulnerabilities is collapsing, for attackers and defenders alike. Restricting powerful models is not the answer; GPT-5.6 Sol is already public. But defenders have one advantage attackers never will: they can test their own code first. Assume your software is exploitable. Whoever is hunting your bugs has the same building blocks we did. This is cause for urgency but not panic. XBOW is now developing an autonomous product for testing compiled software (desktop applications, servers, embedded devices), and partnering with the world’s top organizations to design that product. If you’d like to be one of them, get in touch. P.S. Restart Chrome whenever the Update button appears!
来源：Greg Brockman · x.com