某研究人員與人工智慧代理合作，打造了一條包含三個漏洞的攻擊鏈，因而贏得Google第一個獎金25萬美元的2026年Chrome全鏈獎，影響估計多達10億名的Chrome使用者

西雅圖--(美國商業資訊)--自動化攻擊安全公司XBOW今天宣布其平台獲得Google「Chrome漏洞獎勵計畫」(Chrome Vulnerability Reward Program) 頒發的25萬美元獎金。這是依據Google 2026年規定頒發的第一個Chrome全鏈獎，也是第一個頒發給自動攻擊安全平台的此類獎項。這個成果結合了XBOW累積數十年的攻擊安全經驗與OpenAI GPT-5.6 Sol模型的實力。

XBOW的人工智慧代理用六天的時間與一位安全研究員合作，為Windows建立了一套完整的Chrome漏洞程式。該程式串連三個先前未知的獨立漏洞為在Chrome安全沙箱（該瀏覽器最牢固的防禦屏障）外執行程式碼的單一攻擊。利用這種存取權限，攻擊者可以安裝惡意軟體、勒索軟體或間諜軟體，建立橫向移動的立足點，或竊取憑證及文件，完全無需使用者下載或點選任何內容。

在修復之前，這類漏洞影響全球約10億名在Windows上執行Chrome的使用者。

「揭露這個事實證明，當人類智慧與數十年的攻防安全經驗結合全球最強大的模型時，能實現驚人速度與無限可能。原本各自獨立、甚至嚴重程度較低的漏洞如今可以串連起來，形成高風險的攻擊路徑。」XBOW創辦人暨執行長Oege de Moor說，「只要投入約四萬美元的算力和六天時間，一位研究人員就能夠建立過去往往需要數月時間才能建立的攻擊鏈。攻擊者正以這樣驚人的速度和簡易性展開行動，防禦者也必須保持對應的節奏，才能在大量發現中迅速找出可被利用的攻擊路徑。」

XBOW透過官方管道向Google報告了每一個漏洞，Google工程師復現並確認這些漏洞程式並將之修復。這三個漏洞的根本原因分析報告都已公開，而且這些漏洞從未被用來攻擊Chrome使用者。XBOW將利用這筆獎金繼續運用其技術為非政府組織提供安全保障。

「我們想要幫助更多防禦者盡速發現並修復關鍵漏洞。」OpenAI網路研究主任Clint Gibler說，「某XBOW研究人員利用我們的模型發現了一連串漏洞，Google現已修復了這些漏洞。我們正與安全研究人員及產業合作夥伴一起將這些能力交到更多防禦者手中，保護公眾平日依賴的軟體。」

攻擊原理：這條攻擊鏈分三個階段跨越了兩個沙箱邊界：

  • Chrome的JavaScript引擎V8中的一個漏洞使攻擊者能夠控制引擎沙箱內的記憶體。
  • Chrome動態WebP圖片解碼器中的一個漏洞 (CVE-2026-85045) 突破了沙箱的限制，寫入原生記憶體。
  • Crashpad（Chrome的崩潰處理器，在沙盒外執行）中的一個漏洞 (CVE-2026-78952) 將之轉化成完整的程式碼執行。

結果是：僅僅因為加載網頁就可觸發在Chrome沙盒外啟動的程式。在實際攻擊中，該程式可以是攻擊者選擇的任何程式。

XBOW建立了一座自動攻擊安全平台，該平台能像真正的攻擊者一樣發現並驗證可利用的漏洞，隨後上報這些漏洞以便進行修復。

關於XBOW

XBOW是一家專注于自主主動安全領域的企業，正為AI時代重新定義網路防禦體系。XBOW平台將AI推理能力與主動安全工作流程相結合，以機器運算的速度實現專家級的安全測試。XBOW協助安全團隊完成從被動防禦到主動防禦的轉型，並實現AI規模的全面部署。對於XBOW的客戶而言，自主化的主動防禦就是最有效的安全防護。

免責聲明：本公告之原文版本乃官方授權版本。譯文僅供方便瞭解之用，煩請參照原文，原文版本乃唯一具法律效力之版本。