一个玩笑如何变成「百万富翁」：漏洞赏金截图如何污染 AI 搜索
来源：lyra.horse — 2026-11-11
📋 概述
安全研究员 Lyra Rebane 在 Chromium 漏洞平台被误设为 verifier，从而拿到了本不该有的编辑权限，把一条 1000 美元的赏金改成 1,333,337 美元并截图发推。一小时后她澄清这只是玩笑，但推文已被谷歌 AI 概览吸收：搜索她的名字，得到的答案是「她靠顶尖安全技术成了百万富翁」。文章复盘了整条链路，并推演真正的造谣者能怎样复刻这套手法。
🔑 核心要点
- 报告的是 2022 年提交的 Background Fetch API 逻辑漏洞，2026 年 2 月才修复，赏金 1000 美元
- 身份被误设为 verifier 后，她直接把 vrp-reward 字段从 1000 改成 1,333,337
- 推特的社区注释由「实验性 AI 贡献者」生成，把「截图是真的」写成「作者自己改了截图」，被反驳后消失
- 谷歌 AI 概览直接采信推文，生成「史上最高 Chrome 赏金」的新闻式回答，还编出她的酒店会员等级表
- 一个月后谷歌收回编辑权限，把金额改回 1000 美元，她的推文也被标注为「恶作剧」
💡 金句
如果我是想散播虚假信息的攻击者，复制这样一次操作会有多难？
← 返回 Lobsters 首页
👍 0
👎 0