XBOW 六天建置 Chrome 全鏈利用，獲首個 25 萬美元獎勵
XBOW 用 AI agent 在六天內做出完整的 Chrome 全鏈漏洞利用，拿下 Google 首個 25 萬美元 Chrome full-chain 獎勵。鏈條串起三個漏洞：V8 Maglev 去最佳化時複用可變 HeapNumber、動畫 WebP 解碼器快取幾何與影像位元組不一致、Crashpad 把凍結渲染程序的讀取失敗當作穩定觀測，依次實現 V8 指標壓縮籠內讀寫、籠外一次原生寫和崩潰處理器內的程式碼執行。
首次公開 25 萬美元 Chrome 全鏈獎勵背後的三個漏洞成因與串聯細節，並給出六天完成、約 4 萬美元 API 費用的 AI agent 實戰資料，對瀏覽器安全研究者最有參考價值。
原標題：Zero to Calc in Six Days: Inside XBOW's Chrome Full Chain
閱讀原文
| 評分 | 84 / 85（平均 84，門檻 76） |
|---|---|
| 狀態 | 精選 |
相關報導
X Premium 打包 Cursor、Grok 與 Bot 等 AI 服務
X Premium 訂閱將把多款 AI 工具打包在一起：在 Cursor 裡用 AI 寫程式碼、用 Bot 處理工作、用 Grok 對話與創作，並同時享有 X Premium 的全部功能。該訊息由 @SpaceXAI 發布，未披露價格、上線時間以及各工具的具體使用額度。
Google 因 AI 提交激增暫停開源漏洞賞金計劃
Google 自 10 月 1 日起暫停其開源軟體漏洞賞金計劃，原因是自動化提交數量大幅上升，其中絕大多數無效。公司稱工程師與開源維護者被大量無效或含幻覺的報告淹沒，承諾 2027 年第一季度給出更新，並建議參與者轉向其他賞金專案。
HackerRank 向客戶開放 AI 面試官 Chakra，已面試超 50 萬場
HackerRank 的 AI 面試 agent Chakra 結束約六個月 beta，週一起正式向企業客戶開放，測試期間已完成逾 50 萬場面試，Snowflake、Snorkel、Capgemini 等公司參與試用。候選人要在帶 AI 助手的畫布上處理真實程式碼倉庫任務，Chakra 會依據其操作追問思路，評估批判性思維、判斷力與「AI fluency」，即如何向 AI 描述問題、判斷其輸出並引匯出解法。
macOS 高危漏洞遭在野利用，Claude Code 代理發現並協助清理
荷蘭國家網路安全中心警告 macOS 高危漏洞 CVE-2026-65400 正被在野利用：攻擊者通過可從網際網路訪問的 5900 埠取得 root 權限並植入門羅幣挖礦程式，Apple 已為 macOS Tahoe、Sequoia、Sonoma 發布補丁，該漏洞源於螢幕共享的狀態管理缺陷，嚴重度 7.1，細節在上週 Black Hat 公開。
@OpenAIDevs: An adventure game running on the Chromatic:
OpenAI 開發者帳號 @OpenAIDevs 發布了一條演示，內容是一款冒險遊戲執行在 Chromatic 上。推文正文僅此一句，沒有說明 Chromatic 是什麼、遊戲名稱、所用模型或技術細節，也沒有給出可訪問的連結或截圖說明。