4万美元算力换25万赏金：AI攻破Chrome全链沙箱始末

打开一个普通网页，你电脑里的计算器自己跳了出来。 懂行的人看到这一幕，后背会发凉。 因为这意味着，你的浏览器防线被彻底打穿了。 在网络安全领域，这是含金量最高、也是最难拿的一笔赏金。 谷歌为 Chrome 浏览器开出的最高悬赏：25 万美元。 规则极其严苛。 攻击者必须交出一条完整的利用链： 只靠网页里一段普通的 JavaScript 代码，冲破所有沙箱，直接在底层的操作系统上运行任意程序。 在过去，想要干成这件事，最顶尖的安全研究员得在几千万行源码里埋头苦干好几个月。 但这一次，记录被彻底刷新了。 只用了 6 天。 算力账单清清楚楚：耗费了大约 4 万美元的代币。 净赚 21 万美元赏金。 拿下这笔赏金的，是安全公司 XBOW 的工程师 Brendan Dolan-Gavitt 和他的团队。 帮他们翻遍代码、设计出攻击步骤的，是 OpenAI 的 GPT-5.6 模型。

怎么可能这么快？ Chrome 的防御难道变脆弱了？ 并没有。 Chrome 可能是今天人类工程史上最难攻破的堡垒之一。 它保护用户的核心手段，叫作纵深防御与沙箱隔离。 你在浏览器里打开一个网页，它所有代码都被关在一个与世隔绝的小盒子里。 哪怕网页渲染器本身出了问题，恶意代码也只能在盒子里乱撞。 它读不到你的硬盘文件，也碰不到操作系统的任何核心权限。 想要真正控制你的电脑，黑客必须完成三级跳。 跳过一道防线不算数，必须接连越过两道严格的防御边界。 这需要把几个八竿子打不着的独立漏洞，像搭积木一样严丝合缝地拼成一整条链。 在黑市上，这样一条完整链条能卖到上百万美元。

那这套 AI 智能体是怎么把这三重锁逐一解开的？ 它找到了三个隐蔽的缝隙。 第一步，先攻破最里层的执行引擎。 Chrome 运行网页脚本的核心是 V8 引擎，里面负责提速的编译器叫 Maglev。 模型在排查代码时发现了一个逻辑漏洞： 在编译优化回退的边缘情况下，一个本该被丢弃的数值变量被错误地重复使用了。 抓住这个破绽，恶意脚本就能在引擎的内存笼子里随意读写数据。 第一道小门被撬开了。 但这依然逃不出渲染器沙箱，代码根本摸不到系统。 怎么办？ 第二步，模型把目光投向了图片解码器。 它盯上了用来显示 WebP 动图的底层模块。 在处理动态图像的帧序列时，模型挖出了一个尺寸缓存与实际图像字节不匹配的缺陷。 借着这个微小的数据偏差，攻击程序直接从内部往外刺出了一刀。 在渲染器沙箱的边界上，完成了一次精准的跨界内存写入。 第二道防线被硬生生凿穿了。 接下来就是最后一关：怎么把代码送出浏览器，直接在 Windows 上跑起来？ 第三步，模型把目标锁定在了一个意想不到的组件上：Crashpad。 Crashpad 是 Chrome 的崩溃报告服务。 为了在整个浏览器崩溃时还能记录错误并发送日志，它天然运行在渲染器沙箱外面，拥有正常的系统访问权限。 模型抓住了 Crashpad 内存读取重试机制里的一个缓冲区溢出漏洞。 把前面两步精心准备好的攻击载荷，推进了 Crashpad 的地盘。 三个漏洞瞬间串联。 从一段看似无害的网页代码，到沙箱破裂，再到高权限组件失控。 砰的一声，Windows 桌面上弹出了那个经典的计算器。

看到这里大家最关心的肯定是： 人类工程师在这个过程中到底干了什么？ 难道人就坐在旁边看戏，模型自己把赏金领了？ 并不是这样。 这恰恰是整个实验最有启发性的地方：人与工具的分工变了。 工程师 Dolan-Gavitt 和他的团队没有亲自去读那几千万行艰涩的 C++ 源码。 他们扮演的是战役指挥官。 由人类来挑选突破口、划分防御边界、提供上下文环境，并决定各个漏洞模块的拼合方向。 模型派出的则是成群的并发智能体。 智能体像不知疲倦的工兵，在海量代码里穿梭。 它们提出假设、阅读实现、编写测试用例、验证报错反馈。 脏活、累活、反复试错的穷举体力活，全被模型接了过去。 最后由人类把验证通过的散件组装在一起。 6 天时间，4 万美元的算力开销。 完成了一支顶尖黑客专家团队需要耗费几个月才能做出来的成果。

漏洞链组装完成之后，XBOW 没有藏着掖着，直接把完整的复现步骤交给了谷歌。 谷歌的安全团队经过复现，确认三个零日漏洞全部属实。 修复补丁以最快速度推给了全球几十亿浏览器用户。 随后，谷歌按照自己设定的最高规格，把 25 万美元全额打到了 XBOW 的账户上。 这是该项最高奖金规则设立以来，第一次被完整领走。

这件事之所以在安全界掀起轩然大波，是因为攻防的天平开始倾斜了。 以前很多人聊大模型，总觉得它只能做做辅助、写写模板代码。 但当具备深度推理能力的分工智能体被扔进最严苛的代码对抗场， 原本极度昂贵、极度稀缺的高级安全研究，突然被压缩成了一笔可以用钱和时间精确计量的算力成本。 当打穿顶级防线的门槛被算力大幅拉低， 守护安全的防守方，也只能跑得比算法更快才行。