Anthropic 用一个未发布的内部模型打出五条攻击链：Chrome 拿了 62 个 CVE，Safari 同源策略被绕过，Linux 内核零点击拿 root

出处。原始材料是 Anthropic 官方研究博客的一篇博文，标题《Discovering and exploiting vulnerabilities in critical, real-world software with Claude》，署名团队是 Frontier Red Team，发布于 2026 年 10 月下旬。文中每个漏洞、每段链条、每个数字都逐字取自这一篇。需要提前说清一件事：这是厂商自己的披露，攻击链细节由 Anthropic 单方面给出；但 CVE 编号、厂商修复、上游回移是第三方事实，可以单独核对。这两类证据的可信度不一样，读的时候要分开。

第一条链：Chrome 一键远程代码执行。四步。第一步，模型在 V8 里找到一个堆内存破坏漏洞，让恶意网页可以污染 V8 的堆。第二步，再找到一个漏洞绕过 V8 的内存区域沙箱并击穿 ASLR——定位 Chrome 在内存中的位置，用面向返回编程（ROP）链拿下渲染进程的完全控制权。第三步，被攻陷的渲染进程还困在进程沙箱里，模型又在 CacheStorage 里找到一个竞争条件，用它读取沙箱外的内存，摸清特权浏览器进程的内存布局。第四步，在 FedCM（Chrome 的联合登录功能）里找到一个 use-after-free，把代码执行搬到沙箱之外。官方描述的概念验证：默认配置的 macOS Chrome，页面加载后几秒内拉起计算器，用户全程没做任何操作。

这条链的成果是可核验的：谷歌分配并修复了 62 个 CVE，截至 Chrome 156，全部为严重或高危，其中 13 个是沙箱逃逸，21 个能用来攻陷渲染进程。Chrome 156 的稳定版更新日志发布于 2026 年 10 月 20 日，Anthropic 的博文把这一版作为引用锚点。这 62 个编号是整个披露里最硬的证据，因为它不是 Anthropic 自己数的，是谷歌分配的。你可以不同意攻击链写得好不好，但你没法否认这些编号存在。

第二条链：Safari 同源策略被整体绕过。同源策略是浏览器的地基，绕过它意味着任意网站都能读你登录状态下的其他站数据。链条的关键在于它是「纯数据攻击」——全程不用拿到任意代码执行，只靠对浏览器进程内存的完整读写权限，改掉一个安全标志位、一个对象大小和一个 URL 就够了。具体路径：JavaScriptCore 里 TypedArray 相关的 use-after-free 写到已释放内存；WebKit 的 Gigacage 本来把 TypedArray 数据隔离在独立内存区，模型发现区里某些变量被用来索引其他区域，于是拿到 Gigacage 之外任意读写；再从 WebContent 沙箱的 IPC 机制切进去，读磁盘上保存的历史、Cookie 和会话数据库；最后用那个 UAF 覆盖内存里的变量关掉同源策略。苹果当天确认收到报告并迅速给出修复，官方补丁页面可查。

第三条链：安卓锁屏绕过。场景很具体——手机被偷了，小偷不用解锁就能把照片和个人信息抽出来。做法上，这个案例比前两个更能说明模型在做什么：一部分靠读开源部分的源码，一部分要对 Google Play 服务的二进制做逆向与反混淆，还有一部分是在一台真实的 Pixel 9 上做在线测试。最终串起来三条漏洞，分别绕过四层防护：用特定设置的 USB 主机绕过「锁屏时不传数据」的限制；跳过设备间传输协议的授权检查直接进配对流程；在六位数字校验这一步找到缺陷，让系统以为用户点了「允许」；再找到一条不经过硬编码检查的原始字节通道去要文件内容。官方称该问题已被谷歌处理。

第四条和第五条：Windows 远程拒绝服务，Linux 零点击拿 root。Windows 那个是内核 QUIC 实现里的越界读，编号 CVE-2026-33096。攻击者能从网络远端触达，往监听服务器发几个数据包就能让机器崩溃重启；反复发就能让服务一直起不来。Anthropic 估测互联网上可能有几百万台这样的服务器在监听。发现过程值得一提：给模型一份 Windows 可执行文件，让它用 Ghidra 这类逆向工具自己搞清软件怎么工作，写一份带注释的 C 程序复现关键特性，比对复现程序和二进制行为是否一致，再在代码里找漏洞。说「找更高风险的问题」之后，模型交上来的就是这个可远程利用的洞。

Linux 那条更狠：CVE-2026-98432，多路径 TCP 里的竞争条件导致的 use-after-free，零点击、无凭据、无交互，远程拿 root。两个阶段：第一阶段远程破 KASLR，利用竞争让内核按攻击者控制的长度字段多拷一段字节回给攻击者，只要回包里有内核指针就拿到了地址空间布局；第二阶段劫持控制流，用同一个 UAF 溢出缓冲区，把一个回调指针覆盖成已经用普通协议特性放进内核内存的载荷地址，回调触发时串联一串已有内核函数，最后执行攻击者指定的 shell 命令，权限是 root。这个竞争有个恶毒的设计特点：竞争失败只是握手失败，系统不会崩，所以攻击者可以无限重试直到成功。概念验证里，泄漏内核指针花了 48 分钟，再花 5 分钟拿到 shell。上游已修补，并回移到所有仍在维护的稳定内核分支。

方法比战果更值得抄。Anthropic 说他们搭了一个平台，并行跑大量扫描 agent，衡量每个扫描器贡献了多少「新增」漏洞，并动态跟踪覆盖率让扫描器把整个代码库过完。扫描策略分三层：纯覆盖率（这个函数里有没有漏洞）、目标驱动（这个应用有没有暴露能危及客户数据的东西）、威胁模型驱动（有没有东西能绕过它自己声称的威胁模型）。每一个确认的发现都要再过一遍自动化的变体分析，所有发现都走统一的验证与风险评级流水线。第二点经验更实用：清历史欠账只解决一半问题，另一半是把新漏洞进入代码库的速度降下来，所以他们建议在 PR 阶段就扫，并且已经把一个 Claude Code 的 security-guidance 插件开源了。

最后是怎么读这份披露。第一，漏洞和链条细节是 Anthropic 单方面披露，流程上他们走的是协同披露：给厂商 90 天修复，再等 45 天才对外说公开公告之外的内容。这个流程是行业标准做法，但它不构成对细节真实性的第三方验证。第二，真正可以被外部核对的是：62 个 CVE 编号存在、Chrome 156 的更新日志存在、苹果的补丁页面存在、CVE-2026-33096 在 NVD 有记录、Linux 那个洞在上游被修补并回移。这些是事实，不需要相信任何人的叙述。第三，也是最重要的一条：能力被证明之后，防守方的时间窗口就在缩短。一个前沿模型能在几天内把一个浏览器拆成四步链条，意味着依赖「漏洞太贵、攻方懒得挖」的假设都不成立了，补丁节奏得往前提。