XBOW 表示，团队在一个为期六天、使用 GPT-5.6 Sol 的研究阶段中，构建了由三个缺陷组成的 Chrome 漏洞利用链。Google 复现后给予了 25 万美元奖励。可运行的完整链条能够证明不同弱点如何配合、跨越多重防御，因此比扫描器找出可疑代码，或模型提交一份未经验证的报告，更能说明实际能力。
团队于 2026 年 10 月 13 日公开成果。获得奖励的版本是在 8 月 2 日至 7 日、Black Hat 与 DEF CON 期间组装完成的。XBOW 称三处漏洞均已修复，未观察到它们被用于攻击 Chrome 用户。现有报道并未证明存在持续攻击，历史演示也不能代表已完整更新浏览器的当前状态。
理解成果时不能忽略专家的作用。研究人员负责选定目标、拆分调查、审核输出、提供既有技术，并将不同阶段整合起来。这展示了专家引导下的强大研究能力，却不是模型仅凭一个宽泛目标，就独立攻破加固浏览器的证明。
三处缺陷分别跨越不同防御边界
第一处问题涉及 V8 的 JavaScript 优化编译器 Maglev：在去优化过程中，程序对可能变化的状态作出了错误假设。XBOW 称，这提供了访问 V8 保护区域内存的基础能力，但尚不意味着可以在渲染器之外任意执行代码。
第二处是动画 WebP 处理中的问题：先前检查的信息，可能与稍后实际使用的图像数据不同。XBOW 将其标识为 CVE-2026-85045。它帮助研究者越过前一层保护，并推进到渲染器内部的代码执行；并非单凭这一个图像漏洞就突破了 Chrome 的全部防御。
最后一处涉及运行在 Windows 渲染器沙箱之外的崩溃报告组件 Crashpad。组件在读取诊断信息时，假定已挂起进程的状态保持稳定，而这个前提可能失效。XBOW 将其标识为 CVE-2026-78952，并称完整演示最终在沙箱外启动了 Windows 计算器。
三者都体现了把可变状态误当成固定状态的问题，但严重后果来自将不同阶段连接起来。XBOW 所称约十亿潜在受影响的 Windows Chrome 用户，是覆盖范围的估计，并不是已遭入侵的设备数量，也不能证明每台设备的暴露条件完全相同。
一次重复发现凸显了模块化研究的价值
这个项目并不是在获奖的那一周才开始。团队构建第一条链用了约两个月，随后 Google 告知其中一个组件已是已知问题。即使投入了真实的技术工作，重复发现也可能显著降低报告的奖励价值。
研究人员没有因此推倒重来。他们已将各阶段拆成具有明确作用的组件，并保留替代方案。用 WebP 漏洞换掉重复的中间环节后，其他成果得以继续使用。这体现的是研究架构和专家判断，而不只是让模型持续尝试。
智能体并行检索源码、测试假设、生成候选演示并编写组件。研究人员则分配研究资源，筛掉缺乏可行性的方案。XBOW 专家的既有工作也提供了可复用示例。因此，最后六天的工作建立在此前对目标的了解和团队积累之上，而不是从毫无准备的一条提示词开始。
XBOW 将其与过去需要四名研究人员投入六到九个月的完整漏洞链项目比较。这是团队基于历史经验的评估，不是受控的生产率实验；目标、可用技术、经验和偶然因素都可能不同。但它仍说明，当专家知道如何提出问题、判断结果时，并行智能体能够压缩大量反复试验的时间。
API 开支并不是攻破浏览器的完整价格
XBOW 根据归档的 Codex 日志，重建了获奖六天阶段约 4 万美元的 API 用量。这不包括研究人员薪酬、此前尝试、最初的漏洞链、基础设施、管理或积累多年的专业知识。公开日志也不构成一份可独立审计全部项目工作的完整成本账本。
将这笔开支直接与 25 万美元奖金相减，会得到误导性的利润印象。失败尝试、重复报告、已修复问题和无法稳定复现的演示，都可能消耗计算资源而没有奖励。Google 在 2026 年 4 月更新后，还限制了完整漏洞链奖金的数量，并不存在无限接收自动提交的市场。
Google 公开规则要求完整漏洞链针对当前受支持的系统，在正常缓解措施下运行，且不能依赖不安全的调试选项。奖励类别是否存在，可以与 XBOW 自称首位获奖者、或模型时代首例的历史定位分别核验。现有公开材料没有提供足以确认所有此类排名的完整获奖记录。
厂商复现并修复漏洞，是这项成果最有力的外部依据。但它并未独立证明人和模型各承担了多少工作、项目总成本是多少，或类似任务普遍能在六天完成。这些不同的主张，需要各自的证据。
专家参与解释了它与模型评估的表面差距
OpenAI 的部署前评估发现，GPT-5.6 Sol 能发现漏洞并提供有用的利用基础能力，但在测试中没有独立组装出针对加固 Chromium 或 Firefox 的完整可运行链。因此，公司将其网络安全能力评为很高，但尚未达到关键风险门槛。
专家团队承担了这些关键环节：选择值得追查的线索，判断哪些基础能力可以继续利用、哪些已是死路，协调备选方案，以及完成最终整合。因此，XBOW 的成功并不是对自主能力测试的简单反例，而是说明专业组织能够围绕模型，建立能力更强的整体系统。
这种区别也影响风险预测。如果模型将来能自主选择目标、稳定完成整合，经验较少的操作者也可能以不同方式扩大行动。目前，专家引导的自动化首先增强了已经拥有技术、测试环境和审核人员的组织。XBOW 关于一年内智能体可能独立发现每个漏洞的判断，仍是预测，不是本次已展示的结果。
智能体也会产生大量无效线索，包括重复发现、无法利用的崩溃、对安全边界的误解，以及不可靠的测试。提交数量增加，不等于危险的新漏洞增加。更有意义的变化，是能够稳定复现、通过新颖性检查，并真正展示跨越安全边界的报告变多。
防守方需要加快验证，而非对所有 AI 报告恐慌
这项成果提醒厂商检查跨组件的假设，并分析看似有限的缺陷能否相互组合。同时，复现和补丁验证能力也要跟上。只有维护者能区分真实暴露与缺乏上下文的主张，并部署有效修复，更多发现才会转化为安全收益。
对 Chrome 用户而言，一个普通但重要的步骤，是确保已发布的更新真正被加载。更新后重新启动浏览器并确认版本状态，可以避免旧进程长期运行、与已可用修复脱节。这是维护建议，并不是声称已修复的链条仍在当前版本中被利用。
下一项更有力的证据，应是在不同目标上获得厂商确认的另一条漏洞链，同时公开完整耗时、人工参与和成本边界。在此之前，这既不能被淡化为无害演示，也不能被说成按需自主攻破的证明。它展示的是专家引导的 AI 加快了一种困难研究流程，而新颖性、整合和责任仍决定最终结果。
关于整理和保留工作上下文的相关阅读：技术文档知识库.