挽具找到了那個漏洞
2026 年 7 月 30 日，Google 宣布 Chrome 149 和 150 一共出貨了 1,072 個安全修補——比之前 23 個里程碑的總和還多——而且一個代理找到了一個在程式碼裡潛伏了 13 年的沙箱逃逸漏洞。今年改變的是挽具（harness），不是新模型：一個知識庫、批評者代理，以及一個鎖得夠緊、足以讓代理無人看管地大規模執行的環境——沒有一般網際網路、每個網路請求都比對允許清單、代理被圍在原始碼樹之內。Bromure Agentic Coding 把這個環境帶到你的筆電上：可拋棄的 VM、主機代理伺服器上逐目的地的出站同意、誘餌憑證與護欄——讓你放手讓代理跑的許可證。
那個漏洞十三歲了。它熬過了十年的模糊測試工具、賞金獵人，以及世界上數一數二 的安全工程師——最後倒在一個被允許放手跑的代理面前：一套圍著它打造的挽具， 和一個讓操作者放心走開的環境。
2026 年 7 月 30 日，Google 公布的數字 若在一年前聽起來會像打錯字：Chrome 149 和 150 兩個版本合計出貨 1,072 個 安全修補——比之前 23 個里程碑的總和還多——而 2026 年已經跨過 1,800 個， Chrome 151 又添了 370 個。SecurityWeek 和 BleepingComputer 挑出了鎮場之寶：CVE-2026-3545，Chrome 導覽程式碼中一個 CVSS 9.8 的缺陷， 讓被入侵的渲染程序能騙過瀏覽器去讀本機檔案——一次沙箱逃逸。它在程式碼裡 待了十三年。一個代理找到了它，Google 早在五月就於 Chrome 145 修補完成。
Google 擁有強大的模型已經很多年了。他們自己的時間線是：2023 年 LLM 輔助 模糊測試、2024 年 Project Zero 的 Naptime、2025 年 Big Sleep 找到 V8 的 真實漏洞。四位數的數字在 2026 年初到來，當他們圍著那些模型打造了一套 代理挽具——而挽具才是值得研究的部分，因為挽具是你能擁有的部分。
挽具的解剖
把這則公告剝到只剩機制，你會得到一套架構。
挽具餵給代理一個知識庫，用 Chrome 過往每一個 CVE 和儲存庫完整的 git 歷史
建成。一個擁有獨立情境的批評者代理讀 SECURITY.md 檔案，挑戰發現者
提出的東西。挽具在同一段程式碼上跑多輪，理由是：單次執行不確定的模型，
跑十次就變得徹底。漏洞一經確認，修復代理起草候選修補，批評者反駁，
兩者在一個 Google 形容為模仿程式碼審查的迴圈裡反覆迭代——接著測試撰寫
代理為每個 Chrome 平台產出覆蓋，到那時人類開發者才看它一眼。分流也得到
同樣的待遇：代理重現進來報告裡的概念驗證、判定漏洞引入的時間、評定嚴重
程度、把它派給負責人——這種工作過去每份報告要花工程師五到三十分鐘，
規模是每月數百小時。
那個迴圈裡的人類坐在合併點，審查一份附好測試、已經完成的候選修補，而不是 坐在代理旁邊逐條核准指令。執行本身是自主的。兩個版本一千個修補，是一支 整夜奔跑的艦隊，人類判斷只施加一次，用在艦隊帶回來的成果上。
把限制清單讀兩遍
Google 的文章寫明了代理憑什麼贏得那份自由，就在大多數報導跳過的段落裡。 代理嚴格只分析靜態的原始碼。它們跑在沒有一般網際網路存取、鎖死的 機器上。一套專用設施攔截每一個網路請求，比對嚴格的允許清單。子代理 被禁止修改本機系統，也不得讀取原始碼目錄之外的任何東西。
那張清單是這項成就的前提。自主性才生得出規模，而只要邊界還住在你的注意力 裡，自主性就是你給不起的東西——只要擋在代理與你的機器、你的金鑰、開放 網際網路之間的，只有正在盯著的你。Google 把邊界放進了線路：一個預設拒絕 的網路、一道檔案系統的圍欄、一個替操作者持有規則的環境。然後他們把代理 對準地球上數一數二大的程式碼庫，放手讓它們跑。
那張限制清單，就是一份從外部描述的 Bromure 設定檔。
同一個環境，在你的筆電上
Bromure Agentic Coding 的出發前提和 Google 的挽具相同：代理的自主性， 是牠所處的環境掙來的。每個設定檔都把它的代理跑在 Apple Silicon 上一台 可拋棄的 Linux VM 裡，離 macOS 一層虛擬機管理器，而每個出站請求都要穿過 主機代理伺服器，在那裡目的地會與你核准的清單比對。網路預設拒絕，和 Google 的一樣。這就是放手讓代理跑的許可證——開一個任務、闔上筆電、早上 讀 diff——因為不管你看不看著，規則都撐得住。
而這也讓安全工作本身可以放心交出去，因為安全工作長得像攻擊者。Google 的 分流代理會重現進來漏洞報告裡的概念驗證——它們執行漏洞利用程式，看它 是不是真的。在一台裸筆電上試試看，漏洞報告就執行了那條指令， 就在握著你金鑰的那台機器上。在 Bromure 設定檔裡，PoC 在可拋棄的 VM 內 引爆，它能撈到的憑證是中介的誘餌—— 真值住在主機上，只在線路上、只為核准的目的地注入——而載荷想打電話去的 任何地方，都是代理伺服器永遠不放行的連線。你可以把代理對準自己的當機 報告，叫它重現它們，而且是認真的。
規模，Google 數字的另一半，是艦隊的活——多輪掃描、平行代理——而這個產品 把艦隊當成原語。輸入一個任務名稱，git worktree 設定檔 就給那個任務自己的分支、自己的簽出、在自己分頁裡的自己的代理，每個都在 自己的 VM 裡；夜間的「掃程式碼庫找漏洞」與「追那個不穩定的測試」的跑腿 活，不共用工作樹，也不共用爆炸半徑。至於難纏的漏洞——值得第二意見的那 種——Fusion 模式讓一組模型 上同一個提示詞，再由裁判調和它們，這正是 Google 多輪掃描的洞見，用在 回報最大的那一刻。
然後人類坐在 Google 安置他們的位置：閘門。執行期間，護欄 會暫停破壞性的動作——force-push、刪除、改變狀態的 API 呼叫——在主機上 跳出對話框，其餘一切照流。最後，你審查一份 diff，就像 Chrome 的開發者 審查一份附好測試的候選修補。這種分工——判斷在閘門、自主在執行中——區分了 只會自動補完你夜晚的代理，和把帶著千分位逗號的數字遞到你手上的代理。
兩個故事，一個教訓
把這週的新聞和上週的擺在一起讀。Anthropic 的揭露 展示了挽具說謊時會發生什麼：隔離只是提示詞裡的一句斷言、網路什麼都放行、 代理在寫作業的同時闖進了三家真實公司。Google 的文章展示的是同一個變數、 正負號翻轉：隔離在線路上強制執行，代理修了一千個漏洞、挖出一個十三年的 沙箱逃逸。模型在兩個故事裡帶來的是同樣的天賦；環境決定了那份天賦產出 什麼。
這就是 Bromure Agentic Coding 替你下的注。模型你已經有了——和 Google 用的 同一個等級。編碼代理能為你做到什麼，天花板在於牠住的地方是不是你敢放手 讓牠跑的地方。給牠一個說真話的箱子、一條守規則的線路、一道你的判斷生效 的閘門，然後照這一年的結果所主張的去做：安裝它， 交給代理一個真正的任務，放手讓牠跑。