Claude 发现 Chrome、Safari 和 Linux 安全漏洞，还写出了利用链

10 月 27 日，Anthropic 的 Frontier Red Team 介绍了五条漏洞利用链，它们由一个“未发布的内部研究模型”（原文：“an unreleased, internal research model”）构建。过去几个月里，这个 Claude 模型一直在 Chrome、Safari、Android、Windows 和 Linux 中寻找安全漏洞，并且在每一个系统上都打通了一次严重攻击，只需要极少的用户交互，甚至完全不需要。

Claude 发现了哪些安全漏洞？

在全部五个案例中，经过最初的提示之后，整条利用链都是 Claude 自己写出来的：

1. Chrome：一键远程代码执行。 这条链组合了 V8 引擎中的一个 bug、V8 沙箱逃逸、CacheStorage 中的竞态条件，以及 FedCM（Chrome 的登录机制）中的 use-after-free。在演示中，页面加载几秒后 macOS 上的计算器就弹了出来。截至 Chrome 156，共分配并修复了 62 个 CVE，全部为“critical”或“high”级别。
2. Safari：一键窃取数据。 这里不涉及代码执行：JavaScriptCore 中的 use-after-free、Gigacage 隔离绕过，再加上沙箱 IPC 的一个弱点，就能从磁盘读取浏览历史、Cookie 和会话，随后关闭 same-origin policy。据 Anthropic 称，Apple 当天就确认了报告，并很快发布了修复。
3. Android：绕过锁屏。 模型结合代码分析、对 Google Play services 二进制文件的逆向工程以及在实体手机上的测试，从一台锁定的 Google Pixel 9 中取出了照片和个人数据。Google 已经修复了这个问题。
4. Windows：远程 DoS。 Windows 内核 QUIC 实现中的越界读取，可通过 HTTP/3 触发。只需几个数据包，就能让机器卡死并重启。按照 Anthropic 的估计，互联网上这样的服务器可能有数百万台。Microsoft 以 CVE-2026-33096 修复了它。
5. Linux：零点击拿到 root。 最严重的一例：远程攻击者向开启了 multipath TCP 监听的服务器发送数据包，就能以 root 身份执行任意命令，无需任何凭据，也无需任何用户交互。在概念验证中，泄露一个内核指针需要 48 分钟，再到执行命令还要 5 分钟。修复已合入内核主线和所有仍在维护的稳定分支（CVE-2026-98432）。

此外还有 OpenBSD、FreeBSD 和 Linux 上的本地提权、沙箱逃逸，以及 Web 应用中的大量 bug。

从 AI 的角度看，新在哪里？

第一，目标的级别。Chrome、Safari、Android、Windows 和 Linux 是世界上防护最严密的软件之一，Anthropic 团队明确把它们当作检验模型漏洞研究能力的考题。

第二，利用链的长度。这些不是单个 bug，而是多阶段攻击，每一步都要突破一层新的防护（沙箱、ASLR、内存隔离）。在 Windows 的案例中，Claude 先用 Ghidra 等工具对可执行文件做逆向工程，再用 C 写出带注释的代码重建，然后才在其中寻找漏洞。

第三，规模。Anthropic 搭建了一个平台，让大量扫描智能体并行运行，每个智能体按新增漏洞的数量来评分。每确认一个漏洞，Claude 就会自动在代码的其他位置寻找类似的变体。正如总结中所说，这是模型如今“只需很少人工参与”（原文：“with little human involvement”）就能做到的事。

我们都知道，一天之后 Google 发布了同样主打漏洞挖掘的 Gemini 4 Carbon；更早之前，Bank of America 请来 1000 名外包人员修补 Claude Mythos 发现的问题。看起来，模型在网络安全领域的竞赛正在加速。

这个模型什么时候能用上？

目前不知道。文章既没有给出模型名称，也没有给出发布日期。

不过我们知道现在能用什么。Anthropic 扩大了 Cyber Verification Program，通过验证的安全专业人员可以使用高级网络安全功能和限制更少的分类器。该计划覆盖 Claude Opus 5.5、Claude Sonnet 5.5 和 Claude Mythos 5.1，根据公告，后续的新模型也会纳入。

需要注意什么？

第一，披露方式。所有漏洞都按照协调漏洞披露流程报告给了厂商：厂商有 90 天时间发布修复，Anthropic 还会再等 45 天，才会公开比公告更多的细节。文中提到的案例都已修复，所以直接更新浏览器、手机和内核就好。

第二，你自己的代码。Anthropic 直言，清理积压的漏洞只是问题的一半，扫描自己的代码“比以往任何时候都更重要”（原文：“more important than ever”）。为了在 pull request 阶段就进行扫描，公司发布了 Claude Code 的 security-guidance 插件。关于如何保护你自己的智能体，我在 AI 智能体安全指南里写得更详细。

第三，硬币的另一面。既然模型能自己拼出 Linux 上的零点击 root 攻击，类似的工具很可能也会落到攻击者手里——这也是 Anthropic 在开放访问上如此谨慎的原因。

常见问题

Claude 发现的安全漏洞已经修复了吗？

据 Anthropic 称，是的：Chrome（截至 156 版本）、Safari、Android、Windows（CVE-2026-33096）和 Linux（CVE-2026-98432）都已有修复。

这些漏洞是用哪个 Claude 模型发现的？

一个未发布的内部研究模型。Anthropic 没有公布它的名称和发布日期。

我可以用 Claude 查找自己代码中的漏洞吗？

可以。审查 pull request 可以用 Claude Code 的 security-guidance 插件；安全专业人员还可以申请加入 Cyber Verification Program，以更少的限制使用 Opus 5.5、Sonnet 5.5 和 Mythos 5.1。