「Deathray」：恶意网页可用 WebGPU 着色器卡住整台 Mac
研究员披露：不可信站点上的 WebGPU 着色器可卡住 macOS 图形栈，Chrome/Firefox/Safari 均可复现，用户只需点开链接。
开发者 Auberon López 公开「Deathray」演示：不可信网页通过 WebGPU 提交含死循环的 compute shader，并与依赖同一缓冲区的渲染着色器耦合，可拖垮 GPU，进而让 WindowServer 无响应；严重时触发 watchdog 内核恐慌并重启。作者称在 M 系列 Mac、macOS Tahoe 上，Chrome、Firefox、Safari 均可复现，其他操作系统多半只卡标签页。
问题于 2026 年 7 月 27 日报给 Apple Security；8 月 26 日苹果回复认为属崩溃/挂起/可恢复数据丢失，不视为安全问题，将转交其他团队作增强考虑。作者对比 2023 年 WebGL 版 ShadyShader（CVE-2023-40441，CVSS 6.5），认为 WebGPU 侧的循环检测更弱，并呼吁改进对失控着色器的抢占，而非默认关闭 WebGPU。