AREX Feed Article
Anthropic 发布研究帖：未发布内部模型串联五条攻击链，62 个 Chrome CVE 已随 Chrome 156 修复
在 Anthropic 2026 年 10 月 27 日发布的《Discovering and exploiting vulnerabilities in critical, real-world software with Claude》给出的概念验证里，一台默认配置的 macOS Chrome 浏览器在恶意页面加载后几秒内自动拉起了计算器应用：这是浏览器沙箱之外、以用户身份执行的任意代码，页面加载后不需要用户再做任何操作。帖中称，过去数月 Anthropic 用一款未发布的内部研究模型，在这类全球使用最广的软件中寻找关键漏洞，最终串联出五条完整攻击链，均以远程代码执行（RCE）或其他严重影响收尾，几乎不需要用户交互。
五条链分别针对 Chrome、Safari、Android、Windows 和 Linux 内核。帖中称 Chrome 一键 RCE 链共获分配 62 个 CVE，全部为严重或高危级别，已随 10 月 20 日宣布推入稳定通道的 Chrome 156 修复；Safari 的同源策略完全绕过获 Apple 当日确认、修复已推送；Windows 与 Linux 两条内核链分别持有公开编号 和 ，可在公开漏洞记录中查证。所有漏洞均按 90 天协调披露流程报告厂商。五条链的构造过程出自 Anthropic 自述，模型身份未披露；厂商补丁和公开漏洞记录能印证相关漏洞真实存在并已修复，但无法独立核验每一步的自动化程度。
Chrome：从 V8 堆损坏到沙箱外的计算器
帖中写道，经过初始提示，模型写出了完整的利用链，分四步走：第一步是一个 V8（Chrome 的 JavaScript 引擎）漏洞，让恶意网页破坏 V8 的堆内存；第二步，模型发现另一个漏洞突破 V8 内存区沙箱并击败 ASLR（地址空间布局随机化），在内存中定位 Chrome 的代码，用 ROP（返回导向编程）链完全控制渲染进程；被控的渲染进程仍受 Chrome 进程沙箱限制，模型便利用 CacheStorage 中的一个竞态条件读取沙箱之外的内存，摸清高权限浏览器进程的内存布局；最后是 FedCM（Chrome 的联合登录功能）中的一个释放后使用（use-after-free，UAF）漏洞，让利用代码在沙箱之外执行任意代码。
Anthropic 称，这批 CVE 里 13 个是沙箱逃逸，21 个可用于攻破渲染进程。（10 月 20 日）列出 353 项安全修复，其中多条由 Anthropic 研究员 Xinyang Ge 署名并标注 “assisted by Claude”，包括一项严重级的 Accessibility 释放后使用漏洞（CVE-2026-113271）；62 个 CVE 的总数及与这条链的对应关系出自 Anthropic 帖，公告逐项列出修复，但未标注哪些属于这条链。同一份公告还记有 OpenAI Codex Security 的数项发现。
Safari：不执行代码，直接关掉同源策略
这条链同样是模型在初始提示后写出的，效果是让任意网站的 JavaScript 完全绕过同源策略（same-origin policy，SOP）：读取 Safari 的历史记录、cookie 等敏感数据，并以用户身份向其他域名发送带认证的 HTTP 请求、读取响应。帖中举例，用户若登录了邮箱，攻击者可以读其邮件；若登录了银行账户，攻击者可以查看余额或尝试转账。
链条逐层击穿 Safari 的防护。先是 JavaScriptCore（Safari 的 JavaScript 引擎，以 C++ 编写）中的一个 UAF：某些 TypedArray 操作经悬空指针写入已释放内存，覆写 TypedArray 元数据。WebKit 用 Gigacage 把 TypedArray 数据隔离在独立内存区来缓解这类攻击，模型发现该区域中的某些变量被用作其他内存区的索引，由此拿到 Gigacage 之外的任意读写原语。网站 JavaScript 都运行在 WebContent 沙箱内，模型又找到沙箱 IPC（进程间通信）机制中的一个漏洞，从磁盘读走 Safari 存储的历史、cookie 和会话数据库。最后，模型用那个 UAF 覆写内存中的一个变量，直接关闭 SOP。
帖中强调这是一次 data-only 攻击：从头到尾不依赖任意代码执行，只靠对浏览器进程内存的完整读写，修改了一个安全标志、一个对象大小和一个 URL。其中几个弱点单独看不构成漏洞，而是组合后才可利用的“预期行为”。帖中链接的对应 2026 年 6 月 29 日发布的 iOS 26.5.2 与 iPadOS 26.5.2，该页将一项 WebKit 释放后使用修复（CVE-2026-43715）记于 Milad Nasr 和 Nicholas Carlini 名下，署名含 “with Claude, Anthropic”；这份公告里还能看到 OpenAI Codex Security 和 “Using GLM From Z.AI” 的署名。
Android：被绕开的四层锁屏防线
第三条链的用途很直接：从未解锁的被盗 Android 手机中提取照片和个人信息。帖中描述的工作方法混合了三件事：分析 Android 开源部分的源码、逆向并去混淆 Google Play services 的二进制、在一台实体 Pixel 9 上实测，在开源和专有组件里都找到了漏洞，再把其中三个串成最终利用。
四层防线被逐一绕开。锁定状态的 Android 手机本不应通过 USB 传输数据，一台做了特定设置的 USB 主机绕过了它；设备间传输协议拒绝未授权对端的数据命令，模型找到跳过授权检查、直接启动配对的办法；配对受一套要求用户核对六位数字码的认证密钥协商保护，模型发现一个缺陷可以跳过验证，让流程的表现如同用户点了“允许”；USB 传输本不应携带文件内容，这由一道硬编码检查把关，模型找到一个未被该检查覆盖的回退机制，经 USB 原始字节请求文件内容。帖中说该问题已由 Google 修复，未给出对应 CVE 编号。
Windows 与 Linux 内核：远程拒绝服务与 root shell
第四条链是远程拒绝服务。帖中称，模型写出的利用本可让任何以 Windows 原生实现响应 HTTP/3 请求的机器远程崩溃：漏洞是 Windows 内核的 QUIC（HTTP/3 的底层传输协议）实现中的内存安全越界读，攻击者经网络触及该代码路径，向一台监听中的服务器发几个数据包就能让它崩溃重启；反复发送即可让服务器持续不可用，所有用户都失去访问。Anthropic 估计互联网上可能有数百万台这样的监听服务器。找洞这一步的难度在定位漏洞本身：模型拿到 Windows 可执行文件的副本，用 Ghidra 等现成逆向工程工具还原软件逻辑，写出带完整注释、能复现相关行为的 C 程序，与二进制比对确认无误后再在其中找漏洞；当 Anthropic 要求它挑出更高风险的问题时，它报出了这个可远程利用的漏洞。微软已修复该漏洞并分配 CVE-2026-33096，漏洞记录将其描述为 Windows HTTP.sys 的越界读、允许未授权攻击者经网络造成拒绝服务，条目于 2026 年 4 月 14 日发布，CVSS 3.1 基分 7.5（高危）。
第五条链在 Linux 内核。帖中提到，开源软件上的工作一直在继续：模型在 OpenBSD、FreeBSD 和 Linux 上发现本地提权漏洞，在流行的沙箱基础设施中发现多个逃逸，还在重要 Web 应用中发现大量漏洞；内核网络栈中可远程触发的零点击任意代码执行漏洞已经在上游修补并公开披露。帖中详述的一例：向带 multipath TCP（多路径 TCP）监听器的 Linux 服务器发送数据包，即可在无任何凭据、无任何用户交互的情况下以 root 身份运行任意命令。
底层漏洞是内核网络栈中一个由竞态条件引发的 UAF，利用分两步。第一步远程突破 KASLR（内核地址空间布局随机化）：利用竞态让内核读取攻击者控制的长度字段、多拷贝字节并回传，只要某次超读的回包里带出一个内核指针，攻击者就掌握了内核地址空间布局。第二步劫持控制流：用同一个 UAF 溢出缓冲区，把回调指针覆写为载荷地址（载荷此前已通过普通协议功能布入内核内存），内核调用回调时，载荷串联调用既有内核函数，最终以 root 执行攻击者指定的 shell 命令。帖中补充了一个关键条件：竞态输掉只会让握手失败，不会让系统崩溃，攻击者可以无限重试；在概念验证里，泄漏一个内核指针耗时 48 分钟，再过 5 分钟拿到 shell。CVE-2026-98432 于 2026 年 10 月 15 日收录进漏洞库，CVSS 3.1 基分 9.8（严重级），公开记录描述为内核 TCP 栈中的释放后使用，修复方式是把相关内存的释放推迟到 RCU（read-copy-update，读复制更新）宽限期之后，补丁已回移至各稳定分支。
并行扫描平台与披露时间表
按 Anthropic 官方的（2026 年 3 月 6 日发布），厂商有 90 天修补；补丁发布后，Anthropic 一般再等 45 天才公布公告之外的完整技术细节；对正遭活跃利用的严重漏洞，目标压缩到 7 天；来自 AI 发现的报告都会明确标注，且每份报告经人类研究员复核确认。
帖中把方法上的经验归结为两条。其一，测试时算力扩展和扫描器多样性会显著提高产出：Anthropic 搭了一个平台，并行运行大量扫描代理，按每个扫描器给整个集合贡献多少新增漏洞来衡量它，动态跟踪覆盖率以保证扫完整个代码库；策略横跨纯覆盖（这个函数里有没有漏洞？）、目标导向（这个应用暴露了什么可能危害客户数据的东西？）和威胁模型导向（有没有东西绕过文档写明的威胁模型？）。每个确认的发现都会做自动化变体分析，全部经过标准化验证和风险评级流水线。其二，修完存量只解决一半问题，另一半是压低新漏洞进入代码库的速率，因此建议在提交代码变更（PR）时就扫描；Anthropic 把安全指南做成了 Claude Code 插件并在 。
能核验的部分与留给自述的部分
帖子的结论性判断是：发现并把多个漏洞组合成可运行的利用链，历来是少数专家团队的领域；现在模型可以在很少的人类参与下做到，并产出任何人都能运行验证的利用。Anthropic 未披露这款内部研究模型的身份、评测设置和人工参与程度，“经过初始提示后模型写出完整利用链”属其自述口径；Google 和 Apple 公告中的署名只写到 “Claude”。
对防守方，Anthropic 在 2026 年 10 月 6 日宣布扩编（Cyber Verification Program），设 Defense Access、Red Team Access、Specialized Access 三层，向通过审核的安全从业者提供更强模型和更少的拦截分类器，各层均含 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 等模型；公告还称，经 Project Glasswing 获得访问权的合作机构在 2026 年 4 月至 7 月间至少发现了 129,000 个经验证的软件漏洞。帖中给防守方的建议只有一句：扫描自己的代码，比以往任何时候都更重要。
按披露政策，这五条链在厂商公告之外的完整技术细节，一般在补丁发布 45 天后才会公开；在那之前，Google 和 Apple 公告中的署名条目、以及 Windows 与 Linux 两条漏洞的公开 CVE 记录，是外部目前能拿到的核验凭据。