一个未发布的 Claude 模型串出五条攻击链：Chrome 一次访问逃出沙箱，Linux 零点击拿 root

发生了什么

2026 年 10 月 27 日，Anthropic 的 Frontier Red Team 公布了一项研究：一个没有公开发布的内部研究模型，在过去几个月里对着 Chrome、Safari、Android、Windows、Linux 五个产品找漏洞，并且把找到的漏洞串成了五条能实际跑通的攻击链。Chrome 那条只要访问一次网页就能在沙箱外执行代码；Linux 那条不需要登录、不需要用户点任何东西，就能远程拿到 root。按照 Anthropic 的说法，所有漏洞都先按负责任披露的流程交给了厂商，等补丁发出之后才公开细节。

这件事的新闻点不在某一个漏洞有多严重，而在于“串链”本身。单个漏洞可以靠运气撞见，把四五个漏洞按顺序排成一条从入口走到目标的完整路径，过去是少数专业团队的活。Anthropic 说，现在一个模型在“初始提示”之后就能把这活干完，并且拿出能跑、能验证的概念验证。这个说法到底有多少水分，后面要单独拆开说；先把五条链各自讲清楚，因为每条链的前提和伤害完全不同，混在一起读会得出错误的恐慌。

Chrome：四个漏洞排成队，一次访问就逃出沙箱

Chrome 这条链是五条里讲得最细的。演示用的是一台默认配置的 Mac 版 Chrome，页面加载后几秒钟，计算器应用就弹了出来，不需要用户再点任何东西。链条一共四环，每一环解决一个障碍。

第一环是 Chrome 的 JavaScript 引擎 V8 里的一个内存破坏漏洞，恶意网页借此搅乱 V8 的堆内存。第二环逃出 V8 的内存沙箱，顺带绕过地址空间随机化（ASLR），用一串返回导向编程（ROP）拿到渲染进程的完整控制。第三环是 CacheStorage 里的一个竞态条件，被控制的渲染进程借此读到沙箱之外的内存，摸清了权限更高的浏览器进程在内存里的布局。第四环是联邦登录功能 FedCM 里的一个释放后重用（use-after-free）漏洞，借此在沙箱之外执行任意代码。四环扣完，浏览器沙箱就算被完整绕过去了。

Anthropic 说，它向 Google 报告的成果一共对应 62 个 CVE，全部是严重或高危，其中 13 个是沙箱逃逸，21 个可以用来拿下渲染进程，这些修复都包含在 Chrome 156 里。这里要分清两个数字：Chrome 156 在 10 月 20 日发布时一共带了 353 个安全修复，那是整个版本的修复总数，来自多家贡献者，不能把 353 都算到 Anthropic 头上。Anthropic 的 62 个是它自己报告的那部分。

Safari：一次不跑代码的攻击，把同源策略关掉

Safari 这条链的特别之处在于，它从头到尾没有执行攻击者的代码。它是一次纯数据攻击：拿到浏览器进程内存的读写能力之后，只改了三个东西——一个安全标志、一个对象大小、一个 URL——就把同源策略（SOP）关掉了。同源策略是浏览器里最基础的一条规矩：一个网站不能读另一个网站的数据。一旦它被关掉，恶意页面就能读用户的 Safari 历史、Cookie 和登录会话，还能以用户的身份向其他网站发请求、读回响应。登录着邮箱，就能读邮件；登录着银行，就能看余额、尝试转账。

链条本身分四步。先是 JavaScriptCore 引擎里的一个释放后重用漏洞，某些 TypedArray 操作会透过已经释放的指针写坏元数据。然后是绕过 WebKit 的 Gigacage 防护：Gigacage 本来把 TypedArray 数据隔离在单独的内存区域里，但模型发现区域里的某些变量被用来索引其他区域，于是拿到了 Gigacage 之外的任意读写能力。接着是 WebContent 沙箱的进程间通信（IPC）机制里的漏洞，让攻击能读到存在磁盘上的 Safari 历史、Cookie 和会话数据库。最后一步用前面的读写能力改掉内存里的变量，把同源策略关掉。

Anthropic 说，苹果在收到报告的当天就确认了，并且很快推出了修复。The Hacker News 核对的公开信息是，链条核心的那个释放后重用漏洞修复在 iOS 和 iPadOS 26.5.2 里，致谢写的是“Milad Nasr 和 Nicholas Carlini，在 Claude 的协助下”。也就是说，Safari 这条链至少在关键漏洞上，是有厂商公开致谢可以对上的。

Android：偷来的手机，不用解锁就能掏照片

Android 这条链的前提和其他几条完全不同：攻击者要先拿到手机。它针对的是一台锁着的 Google Pixel 9，攻击通过 USB 线进行，目标是把照片和其他个人信息掏出来，全程不需要解锁。

手机本来有好几层防线，模型一层层绕了过去。锁着的手机按设计不应该通过 USB 传数据，模型找到了一种特定的 USB 主机设置，绕过了这层限制。设备间传输协议本来拒绝未授权设备的命令，模型找到了跳过授权检查、直接开始配对的办法。配对本来要用户核对一个六位验证码，模型找到了跳过这步验证、让系统以为用户已经点了“允许”的缺陷。最后，USB 传输本来有个硬编码检查，规定不能传文件内容，模型找到了一条不在检查范围内的备用通道，用它把原始文件字节送了出来。

这条链的做法也值得一提：模型结合了三种手段——分析 Android 开源部分的代码、逆向和反混淆 Google Play 服务的二进制文件、在真机上实测。Anthropic 说 Google 已经修复了这个问题，但 The Hacker News 在核对时没有找到对应的公开记录。所以 Android 这条链的修复状态，目前只能以 Anthropic 的说法为准，读者没法像 Chrome 和 Safari 那样去厂商公告里对上号。

Windows：只能让服务器倒下，但倒下本身就够麻烦

Windows 这条链是五条里伤害最小的，但它的发现过程最能说明模型的工作方式。漏洞是 Windows 内核 QUIC 实现里的一个越界读取，攻击者从网络上发几个数据包，就能让一台响应 HTTP/3 请求的服务器崩溃重启。反复发，就能让服务器一直起不来，所有用户都失去访问。这是一次拒绝服务攻击，不跑代码、不偷数据，但对一台对外服务的机器来说，持续断线本身就是事故。Anthropic 估计，互联网上有几百万台这样的服务器在监听。

发现过程是纯粹的二进制分析。研究人员给模型一份 Windows 可执行文件，让它用 Ghidra 这类逆向工具把程序逻辑还原出来，写成一份带完整注释的 C 程序复现相关功能，拿复现程序和原始二进制比对、确认无误之后，再在自己写出来的复现代码里找漏洞。模型就是这样在复现代码里挑出了这个能远程触发的缺陷。Anthropic 说，这个漏洞已经交给微软，编号是 CVE-2026-33096。

但这里有一处公开记录对不上，留到后面的出入一节细说：Anthropic 说的是内核 QUIC，而公开的 CVE 记录写的是 HTTP.sys。先把这个疑点记下来，读到后面再下判断。

Linux：零点击拿 root，失败了还能一直重试

Linux 这条链是五条里后果最严重的。目标是跑着多路径 TCP（MPTCP）监听器的服务器，攻击者不需要任何凭证、不需要用户做任何事，从网络上发数据包就能以 root 身份执行任意命令。整个过程分两个阶段。

第一阶段是绕过内核地址随机化（KASLR）。模型利用的是一处竞态条件导致的释放后重用漏洞，让内核按攻击者控制的长度多读一段内存、把多读出来的字节发回给攻击者。只要有一次多读的内容里包含内核指针，攻击者就知道了内核在内存里的布局。演示里这一步花了 48 分钟。

第二阶段是劫持控制流。还是同一个漏洞，这次用来溢出一个缓冲区、改写一个回调指针，把它指向攻击者事先通过普通协议功能放进内核内存的有效载荷。内核调用这个回调时，就会顺着攻击者铺好的调用链一路执行，最后跑起攻击者指定的 shell 命令，身份是 root。这一步花了 5 分钟。整条链从开始到 root shell，一共 53 分钟。

这条链还有一个让防守方头疼的特性：竞态条件输了不会把系统搞崩，只是让这次握手失败。攻击者可以无限次重试，直到成功为止。没有崩溃日志告警，没有一次性的运气成分，时间站在攻击者那边。Anthropic 把这条链对应到 CVE-2026-98432，CVSS 评分 9.8，2026 年 10 月 15 日在上游修复，并向所有仍在维护的稳定内核分支做了移植。

两处公开记录对不上，要如实摆出来

这项研究最值得较真的一点，不在演示本身，而在公开记录能不能对上。The Hacker News 做了核对，结果是：有些能对上，有些对不上，而对不上的部分恰好是最严重的两条链。

先说 Windows。Anthropic 说漏洞出在 Windows 内核的 QUIC 实现里，编号 CVE-2026-33096。但公开的 CVE 记录写的是 HTTP.sys，也就是 Windows 内置的 Web 请求处理组件，评分 7.5，而且没有注明发现者。没有任何公开资料把“QUIC 处理”和“HTTP.sys”这两个说法拴成同一个组件。所以这条链的作者归属，目前只能建立在 Anthropic 自己的文章上。好的一面是，美国政府的漏洞 enriched 数据把这个缺陷标为“未被利用”，它也没有进入 CISA 的已知被利用漏洞目录，说明至少到 10 月底，没有证据表明它在野外被用过。

再说 Linux。Anthropic 把链对应到 CVE-2026-98432，评分 9.8、上游 10 月 15 日修复，这几点和公开记录一致。但公开记录描述的是一个 IPv4 TCP 的修复，没有提到多路径 TCP。也就是说，从公开记录出发，你能确认“有个 9.8 分的内核 TCP 漏洞修了”，但不能确认“这个漏洞就是 Anthropic 演示的那条多路径 TCP 链”。两者之间的连接，同样只有 Anthropic 的文章本身。

Chrome 的情况处在中间。Google 的 Chrome 156 发布说明里确实致谢了“Xinyang Ge（Anthropic），在 Claude 的协助下”，但只针对部分修复，不是全部 62 个。Safari 的情况最好，苹果的致谢点名了研究人员和 Claude 的协助，和链条核心漏洞能对上。Android 则连公开记录都没找到。

把这张对账表摊开，结论是分层的：补丁本身是真实的，五条链对应的产品确实都出了修复；但“模型发现了这些漏洞”这个作者归属，只有 Chrome 和 Safari 有厂商致谢撑腰，Windows 和 Linux 的组件描述与公开记录存在出入，Android 则缺乏公开佐证。读这项研究时，这两层要分开：前者是补丁事实，后者是能力主张。

能力主张到底证明了什么、没证明什么

Anthropic 的核心主张是：过去需要少数专业团队才能干的活——发现多个不相关的漏洞、把它们串成能跑的攻击链——现在模型在“初始提示”之后、“很少人工干预”的情况下就能干，并且能拿出任何人都可以运行验证的概念验证。如果这个主张成立，防守方的处境确实变了：找漏洞的成本结构变了，补丁的速度就得跟着变。

但这篇文章没有给出验证这个主张最关键的几组数字。模型没有具名，只叫“未发布的内部研究模型”，读者没法知道它和公开的 Claude 是什么关系。人工干预没有按步骤拆分：初始提示之后，人有没有帮忙选目标、修链条、调参数，全都没写。每条链的成功率、成本、耗时也没有系统披露，只给了 Linux 那条链的 48 分钟加 5 分钟。没有这些数字，外界没法判断这是“模型独立完成了研究”，还是“人在关键节点上扶了一把”。

还有一点容易被标题带偏：这不是“随便跟聊天机器人说一句话，它就能黑掉 Chrome”。演示是在实验室里、针对特定目标、经过数月研究做出来的。普通用户手里的公开模型、随手一句话的提示，和这项研究里“初始提示 + 并行扫描平台 + 标准化验证流程”的配置，根本不是同一套东西。把实验室的链条直接等同于“人人都能用的攻击工具”，是对这项研究的误读。

公平地说，也有部分主张是可以独立验证的。Chrome 和 Safari 的厂商致谢确实写了 Claude 的协助，这说明模型至少参与了真实漏洞的发现过程。真正站不住脚的，是把“参与”和“独立完成”混为一谈。Anthropic 的文章没有拆分这两者，读者就不应该替它拆分。

防守方能直接拿走的三样东西

撇开能力主张的水分，这项研究里有三样东西是防守方今天就能用的。第一样是扫描的组织方式。Anthropic 说，他们建了一个平台，同时跑大量扫描智能体，按每个扫描器“多贡献了几个新漏洞”来衡量它，并且动态跟踪覆盖率，确保整个代码库都被扫到。扫描策略分三种：纯覆盖式（这个函数里有没有漏洞）、目标导向式（这个应用有没有暴露客户数据的风险）、威胁模型式（有没有绕过文档里写明的威胁模型）。每一个确认的发现还会跑一遍自动变体分析，看看同类问题有没有出现在别处。所有发现再过一条标准化的验证和风险评级流水线，这样换扫描器也不会拉低质量门槛。

这个组织方式的意义在于，它把“模型找漏洞”从一次性的演示变成了可重复的流程。防守方不需要复制 Anthropic 的模型，也能抄这套流程：多个扫描器并行、用新增发现数衡量效果、发现一个问题就顺手扫一遍变体、验证标准固定不变。流程是可以迁移的，模型是不用迁移的。

第二样是“在合入请求时扫描”。Anthropic 的判断是，修历史遗留问题只解决了一半，另一半是减少新漏洞进入代码库的速度。为此他们把安全指导做进开发流程，发布了一个公开的 Claude Code 安全指导插件，让扫描发生在代码合入之前，而不是等到发布之后再审计。对任何团队来说，这句话的落地版本都很具体：安全检查越靠近写代码的那一刻，修的成本越低。

第三样是 Anthropic 自己给防守方开的口子：扩大后的 Cyber Verification Program。符合条件的安防专业人员可以通过这个项目，用上包括 Claude Opus 5.5、Sonnet 5.5、Mythos 5.1 在内的模型，并且享受较低的拦截分类器强度。Anthropic 的潜台词很直白：既然模型能帮攻击方串链，那就得先让防守方拿到同样的工具。这话有自我推销的成分，但方向是对的——防守工具的获取门槛，不应该比攻击工具高。

先把补丁打上，再谈别的

在讨论模型能力之前，有一张补丁清单是没有任何争议的。Chrome 用户确认自己在 156 或更高版本；Safari 用户确认 iOS 和 iPadOS 到了修复版本，The Hacker News 对照的是 26.5.2；对外提供 HTTP/3 服务的 Windows 服务器确认打上了 2026 年 4 月的累积更新；跑多路径 TCP 监听器的 Linux 服务器确认内核已经跟上了稳定分支的移植。Anthropic 的披露流程是 90 天给厂商修补、再加 45 天才公开超出公告的细节，这意味着这些补丁在文章出来之前就已经发出了，剩下的风险不是“有没有补丁”，而是“补丁有没有装到每一台机器上”。

披露流程本身也值得肯定一句。所有漏洞先交给厂商、等补丁发出再公开，这是这项研究和恶意利用之间最关键的区别。Anthropic 还留了一个时间窗口：45 天期满后，它还会再公开超出公告的细节。对防守方来说，这意味着现在看到的还不是全部技术细节，补丁没打完的机器，窗口期正在倒数。

与 XBOW 那篇的划界

站内已经有一篇讲 AI 找漏洞的文章，题目是 XBOW 的 Chrome 漏洞链。那篇讲的是一个外部智能体花六天时间，从 V8 到 WebP 再到 Crashpad 串出一条 Chrome 链，拿到了 Google 按新规则支付的首笔 25 万美元赏金。主角是赏金猎人模式下的外部 agent，叙事核心是攻击成本在坍缩。

本篇的主角完全不同：它是 Anthropic 自己的实验室模型，覆盖的是五个产品而不是一条 Chrome 链，叙事核心也不是赏金，而是官方披露流程和防守方该怎么接招。两篇都讲“模型能串链”，但一个是外部 agent 在赏金规则里跑出来的成绩，一个是厂商实验室按 90 天加 45 天流程走完的披露。读者如果把两篇当成同一件事，会误以为“模型串链”已经有了一个统一的、可比较的成绩单。实际上两边的模型、流程、验证方式都不一样，成绩目前还对不上。

真正共通的只有一句话，而且这句话两篇都指向同一个结论：串链这项本事，正在从少数人的手艺变成可以规模化跑的流程。XBOW 证明的是外部 agent 能做到，Anthropic 证明的是实验室模型能做到，而且能一次覆盖五个产品。对防守方来说，争论哪一边的模型更强没有意义，有意义的是补丁速度能不能跟上“发现-串链-验证”这个流程被规模化的速度。补丁装到每一台机器上之前，讨论模型排名都是空谈。