挽具找到了那个漏洞

2026 年 7 月 30 日，Google 公布的数字 放在一年前会像是打错了字：Chrome 149 和 150 两个版本合计交付 1,072 个 安全修复——比之前 23 个里程碑的总和还多——而 2026 年已经越过 1,800 个， Chrome 151 又添了 370 个。SecurityWeek 和 BleepingComputer 挑出了压轴展品：CVE-2026-3545，Chrome 导航代码中一个 CVSS 9.8 的缺陷， 让被攻陷的渲染进程能骗浏览器去读本地文件——一次沙箱逃逸。它在代码库里 待了十三年。一个代理找到了它，Google 早在五月就于 Chrome 145 打上补丁。

Google 拥有强大的模型已经很多年。他们自己的时间线是：2023 年 LLM 辅助 模糊测试，2024 年 Project Zero 的 Naptime，2025 年 Big Sleep 找到 V8 的 真实漏洞。四位数在 2026 年初到来，当他们围着那些模型搭起一套代理 挽具——而挽具才是值得研究的部分，因为挽具是你能拥有的部分。

挽具的解剖

把这份公告剥到只剩机制，你会得到一套架构。

挽具喂给代理一个知识库，由 Chrome 以往每一个 CVE 和仓库完整的 git 历史 构建。一个拥有独立上下文的批评者代理读 SECURITY.md 文件，质疑 发现者提出的东西。挽具在同一段代码上跑多轮，理由是：单次运行不确定的 模型，跑十次就变得彻底。漏洞一经确认，修复代理起草候选补丁，批评者 反驳，两者在一个 Google 形容为模仿代码评审的循环里反复迭代——随后测试 编写代理为每个 Chrome 平台产出覆盖，到那时人类开发者才看它一眼。分诊也 得到同样的待遇：代理复现来报里的概念验证、判定漏洞引入的时间、评定 严重程度、把它派给负责人——这种工作过去每份报告要花工程师五到三十分钟， 规模是每月数百小时。

那个循环里的人类坐在合并点，评审一份带好测试、已经完成的候选修复，而 不是坐在代理旁边逐条批准命令。运行本身是自主的。两个版本一千个修复， 是一支整夜奔跑的舰队，人类判断只施加一次，用在舰队带回来的成果上。

把约束清单读两遍

Google 的文章写明了代理凭什么赢得那份自由，就在大多数报道跳过的段落里。 代理严格只分析静态的源码。它们跑在没有一般互联网访问、锁死的机器上。 一套专用设施拦截每一个网络请求，比对严格的允许列表。子代理被禁止 修改本地系统，也不得读取源码目录之外的任何东西。

那张清单是这项成就的前提。自主性才产得出规模，而只要边界还住在你的 注意力里，自主性就是你给不起的东西——只要挡在代理与你的机器、你的密钥、 开放互联网之间的，只有正在盯着的你。Google 把边界放进了线路：一个默认 拒绝的网络、一道文件系统的围栏、一个替操作者持有规则的环境。然后他们把 代理对准地球上数一数二大的代码库，放手让它们跑。

那张约束清单，就是一份从外部描述的 Bromure 配置档。

同一个环境，在你的笔记本上

Bromure Agentic Coding 的出发前提和 Google 的挽具相同：代理的自主性， 是它所处的环境挣来的。每个配置档都把它的代理跑在 Apple Silicon 上一台 可丢弃的 Linux VM 里，离 macOS 一层虚拟机监视器，而每个出站请求都要穿过 主机代理服务器，在那里目的地会与你批准的列表比对。网络默认拒绝，和 Google 的一样。这就是放手让代理跑的许可证——开一个任务、合上盖子、早上 读 diff——因为不管你看不看着，规则都立得住。

而这也让安全工作本身可以放心交出去，因为安全工作长得像攻击者。Google 的 分诊代理会复现来报里的概念验证——它们运行漏洞利用程序，看它是不是 真的。在一台裸笔记本上试试，漏洞报告就执行了那条命令， 就在攥着你密钥的那台机器上。在 Bromure 配置档里，PoC 在可丢弃的 VM 内 引爆，它能捞到的凭证是中介的诱饵—— 真值住在主机上，只在线路上、只为批准的目的地注入——而载荷想打电话去的 任何地方，都是代理服务器永远不放行的连接。你可以把代理对准自己的崩溃 报告，让它去复现，而且是认真的。

规模，Google 数字的另一半，是舰队的活——多轮扫描、并行代理——而这个产品 把舰队当作原语。输入一个任务名，git worktree 配置档 就给那个任务自己的分支、自己的检出、在自己标签页里的自己的代理，每个都 在自己的 VM 里；夜间的“扫代码库找漏洞”与“追那个不稳定的测试”的跑腿活， 不共用工作树，也不共用爆炸半径。至于难缠的漏洞——值得第二意见的那种—— Fusion 模式让一组模型上同一个 提示词，再由裁判调和它们，这正是 Google 多轮扫描的洞见，用在回报最大的 那一刻。

然后人类坐在 Google 安置他们的位置：闸门。运行期间，护栏 会暂停破坏性的动作——force-push、删除、改变状态的 API 调用——在主机上 弹出对话框，其余一切照流。最后，你评审一份 diff，就像 Chrome 的开发者 评审一份带好测试的候选修复。这种分工——判断在闸门、自主在运行中——区分了 只会自动补全你夜晚的代理，和把带着千分位逗号的数字递到你手上的代理。

两个故事，一个教训

把这周的新闻和上周的摆在一起读。Anthropic 的披露 展示了挽具说谎时会发生什么：隔离只是提示词里的一句断言、网络什么都放行、 代理在写作业的同时闯进了三家真实公司。Google 的文章展示的是同一个变量、 正负号翻转：隔离在线路上强制执行，代理修了一千个漏洞、挖出一个十三年的 沙箱逃逸。模型在两个故事里带来的是同样的天赋；环境决定了那份天赋产出 什么。

这就是 Bromure Agentic Coding 替你押下的注。模型你已经有了——和 Google 用的同一个档次。编码代理能为你做到什么，天花板在于它住的地方是不是你敢 放手让它跑的地方。给它一个说真话的箱子、一条守规则的线路、一道你的判断 生效的闸门，然后照这一年的结果所主张的去做：安装它， 交给代理一个真正的任务，放手让它跑。