谷歌给一家小公司开了一张25万美元的支票，这家公司只花了6天时间和大约4万美元的算力。更耐琢磨的是，谷歌付钱时没有一丝勉强。2026年10月13日，网络安全公司XBOW宣布，其研究团队在OpenAI最新模型GPT-5.6 Sol的协助下，把谷歌Chrome浏览器的完整攻击链打通了——从V8 JavaScript引擎的内存控制，到动态WebP解码器漏洞CVE-2026-85045突破沙箱，再到沙箱外的Crashpad漏洞CVE-2026-78952实现完整代码执行，三个此前未知的漏洞串成了一条只需用户加载网页就能触发的攻击路径。按照XBOW的说法，这条攻击链在修复前理论上影响全球约10亿Windows版Chrome用户。谷歌的回应方式，是确认发放这笔25万美元的漏洞奖励。
表面上看，这是一次AI攻防能力的展示，XBOW赚了21万美元的差价，谷歌被自家浏览器的深层漏洞搞得有点下不来台。但把账本摊开看，事情完全不是这么回事。谷歌用25万美元买断了一条可能影响10亿用户的完整攻击链，这笔交易的划算程度，可能比XBOW赚到的差价更惊人。