Claude 挖出 62 个 Chrome 漏洞：5 条攻击链与 53 分钟 root

Anthropic 10 月 27 日发布研究博客，公开了一个未发布的内部 Claude 研究模型在 Chrome、Safari、Android、Windows、Linux 上打出的 5 条完整攻击链。模型在几小时内完成从定位漏洞到编写可用利用代码的全过程，其中一条链在 Chrome 上产出 62 个严重级或高危 CVE，Linux 那条链在 53 分钟内从内核指针走到 root shell。这份材料值得单独拆开看。

先说清楚它是什么性质的工作。它不是安全厂商的季度漏洞报告，也不是某个 benchmark 上的跑分。Anthropic Frontier Red Team 用一个未对外发布的内部研究模型，对全球装机量最大的几套软件做了真实的漏洞挖掘与利用开发，并把五个可复现的攻击链公开出来。全部漏洞按协调披露流程提交给厂商，到发文时五家都已经修完。

五条链子分别在哪些系统上打开了口子

五条链子的覆盖面很讲究。浏览器两套、操作系统两套、一套专攻服务器内核，攻击形态从一次点击到零点击不等。这组选择本身传递了一个判断，即最值得测的目标是那些防线叠得最厚、因而最依赖「多个小缺陷刚好能拼上」假设的系统。

Chrome：62 个 CVE 与一次不用点击的计算器

Chrome 这条链的技术路径值得逐段看，因为它是唯一一条被完整写出来、并且有官方公告可以对照的。

第一步在 V8。模型发现一个能让恶意网页破坏 V8 堆内存的缺陷。第二步它找到第二个漏洞，用来逃出 V8 的内存区域沙箱并击穿 ASLR，随后用一条返回导向编程链完整接管渲染进程。到这里模型只是控制了一个被困在进程沙箱里的渲染进程。第三步它找到 CacheStorage 里的一个竞态条件，让已经被接管的渲染进程读出沙箱之外的内存，进而摸清高权限浏览器进程的内存布局。最后一步是 FedCM，也就是 Chrome 联邦登录功能里的一个释放后使用漏洞，模型用它完成最后一段跳出。

官方给出的概念验证效果很直观：在 macOS 上用默认配置的 Chrome，页面加载后数秒内自动拉起计算器应用，全程不需要用户再点一下。谷歌据此分配了 62 个 CVE，全部评为严重级或高危，其中 13 个是沙箱逃逸类，21 个可用于控制渲染进程，修复随 Chrome 156 落地。

谷歌自己的发布说明把这条线索写得很清楚。10 月 20 日 Chrome 156 稳定版（156.0.8078.47 与 .48）一次修了 353 个漏洞，含 6 个严重级；10 月 27 日的桌面版更新（156.0.8078.73 与 .74）再修 52 个安全问题，这份清单里出现了 CVE-2026-118306、CVE-2026-118331、CVE-2026-118348、CVE-2026-118344 等条目，报告人一栏写的是「Reported by Xinyang Ge (Anthropic), assisted by Claude」。同一份清单里还出现了另一家实验室的署名，OpenAI Codex Security 报告了 Turbolev 的释放后使用漏洞。AI 工具出现在浏览器漏洞致谢名单上，已经不是个别现象。

Safari：一条不执行任何代码的攻击链

Safari 这条链的价值在于它绕开的全是「本意如此」的设计。攻击者不需要跑任何自己的代码。

起点是 JavaScriptCore 里的一个释放后使用缺陷。某些 TypedArray 操作会通过已经失效的指针写入已释放内存，顺带改掉 TypedArray 的元数据。WebKit 的 Gigacage 本该把这类数据隔离在单独内存区域，但模型发现该区域里的某些变量会被用来索引其他区域，于是获得了 Gigacage 之外的任意读写原语。网站 JavaScript 本该跑在 WebContent 沙箱里，模型接着找到沙箱 IPC 机制里的缺陷，读到了磁盘上的浏览历史、Cookie 与会话数据库。最后它用前面那个释放后使用改写内存里的一个变量，把同源策略关掉。

整条链只做三件事：改一个安全开关、改一个对象长度、改一个 URL。它能读到什么程度，取决于受害者登录了什么。已登录邮箱就能读邮件，已登录银行就能看余额甚至发起转账。苹果在收到报告的当天确认并发布了修复。

Anthropic 特别强调这条链的几个弱点单独看都不是漏洞，有几个甚至是设计上的有意行为，只有组合起来才变成可利用路径。这类「组合即漏洞」的判断方式，和传统扫描器按缺陷类型归档的做法差别很大。

Android 与 Windows：锁屏照片和百万台 HTTP/3 服务器

Android 这条链是五个目标里最需要实地操作的。模型把三种手段并用：分析 Android 开源部分的源码，逆向并去混淆 Google Play 服务的二进制，然后在实机 Pixel 9 上做活体测试。它在开源组件和专有组件里翻出一批漏洞，最后挑出三个串成利用。

绕过的四道关卡分别是：锁定状态下本不该通过 USB 传输数据，模型找到一个特定设置的 USB 主机可以绕过；设备间传输协议会拒绝未授权对端的数据命令，模型找到跳过授权检查的办法；配对环节靠一个六位码做认证密钥协商，模型找到跳过校验的缺陷，让系统表现得像用户点了允许；最后 USB 传输本不该携带文件内容，这由一段硬编码检查保证，模型找到一条没有被这段检查覆盖的回退路径，直接发送原始字节。谷歌已修复。

Windows 这条链的门槛在定位而非利用。模型是在一个闭源二进制上找到问题的，做法是：拿到 Windows 可执行文件副本，用 Ghidra 等逆向工具分析，写出一份带完整注释的 C 程序复现相关功能，把复现程序的运行行为与原二进制逐项对照确认正确，再在还原出来的代码里找漏洞。找出的问题出在 Windows 内核的 QUIC 实现，是一处内存安全越界读，远程发几个包就能让响应 HTTP/3 的服务器崩溃重启，反复发就能持续打挂。Anthropic 估计互联网上这样的服务器有数百万台。微软已修复，编号 CVE-2026-33096，补丁在 2026 年 4 月就已发布。

Linux：53 分钟从内核指针走到 root

五条链子里 Linux 这条最严重，也最值得完整讲一遍。触发条件是服务器上跑着多路径 TCP 监听器，攻击者不需要任何凭据，也不需要任何用户交互。

根因是内核网络栈里一处由竞态条件引发的释放后使用。完整的利用分两个阶段。

第一阶段远程击穿 KASLR。模型利用竞态让内核读取一个由攻击者控制的长度字段，多复制出一段字节并回传。只要有一次这样的越界读里包含内核指针，攻击者就拿到了内核地址空间布局。这一步在官方概念验证里花了 48 分钟。

第二阶段劫持控制流。模型用同一个释放后使用缺陷溢出缓冲区，把一个回调指针覆盖成攻击者事先通过普通协议功能放进内核内存的载荷地址。内核调用这个回调时，载荷串联起一系列已存在的内核函数，最后执行攻击者选定的 shell 命令，身份是 root。这一步花了 5 分钟。

这里有个让利用门槛骤降的细节。丢失竞态只会让握手失败，不会让整机崩溃，所以攻击者可以无限重试直到成功，不需要担心打崩目标引发告警。编号 CVE-2026-98432，已在上游修复并回合到所有在维护的稳定分支。

编号对不上：把公告与公开数据库逐条核对

这类披露最容易被忽略的一点，是官方叙述与公开漏洞库之间未必完全吻合。逐条核一下能看出差别。

两条记录都不算矛盾。Windows 那条的时间点与补丁月份、免认证免交互的远程崩溃特征都对得上，差异只在组件命名上，一个指内核里的 QUIC 实现，一个指 HTTP.sys 驱动。Linux 那条更值得留意，公开描述的技术机制是 ipv4 选项在并发 SYN 重传下的释放时序，Anthropic 的叙述把触发面放在多路径 TCP 监听器上，第三方漏洞库的公开描述也没有提到多路径 TCP。两者之间的对应关系，目前只由 Anthropic 自己那篇博客支撑。

披露窗口方面，Anthropic 的协调披露政策给开发者 90 天修复期，之后再加 45 天才允许讨论超出公开公告范围的内容。

把这组结果放进时间线上

单看一次发布容易低估它的分量。把它和 Anthropic 自己今年几次披露、以及同行的动作放在一起看，趋势更清楚。

从 2 月的 500 多个开源项目漏洞，到 10 月能在 Chrome 内核与 Linux 内核里打出完整利用链，四个月内能力的跨度不小。同期 OpenAI 那边也在做同样的事，把前沿模型用于漏洞发现，并配套推出补贴防守方使用模型的项目。两家的路径高度相似，都强调协调披露、都把发现与修复绑定、都认为防守方拿到同等能力是当务之急。

对防守方意味着什么

Anthropic 从这批工作里提炼的两条经验，比具体的漏洞清单更有长期价值。

第一条关于发现规模。团队搭了一个平台，同时跑大量扫描智能体，按每个扫描器额外贡献了多少漏洞来评估它的价值，并动态追踪覆盖率，保证扫描器把整个代码库覆盖完。扫描策略分三类，纯覆盖型问这个函数里有没有漏洞，目标型问这个应用是否暴露了能损害客户数据的东西，威胁模型型问这个应用有没有绕开它自己声明的威胁模型。每个确认的发现还会跑一遍自动化的变体分析，所有结论都走统一验证与风险评级流程，这样试验新扫描器时不必降低质量门槛。这解释了 62 这个数字是怎么堆出来的，靠的是并发与多样性，而不是单次更强的推理。

第二条关于漏洞积压。修完现有积压只解决一半问题，另一半是切断新漏洞进入代码库的速度。办法是在代码合并请求的阶段就做扫描。Anthropic 把安全指引直接做进了自己的开发流程，做成一个 Claude Code 插件并公开发布。

这对防守方的现实含义很直接。模型的门槛在下降，而它给出的成果是可运行的利用代码而非模糊的怀疑清单，这比人类研究者几十年前的状态更接近攻击者手里能拿到的东西。前面提到的站内文章 PHP2Shell 深度 记录了同一趋势的另一面，那次两个关键漏洞同样出自前沿模型之手，微软披露的 Storm-0940 攻击 里，攻击方用智能体三小时拿下 2250 个租户，防守方的响应窗口被压得很短。工具是双面的，这一点 OpenAI 前沿模型断网训练 一文里提到的红队绕过隔离环境的事件也印证过。

还需要记住几条披露里没说清的事。Anthropic 没有公布那个内部研究模型的架构、训练方式与具体能力，也没有说它会不会发布。所有链路都始于人类给出初始提示，之后由模型自主完成定位与利用代码编写，但首次提示之后还有多少人工介入，公告没有交代。五个目标全部是在实验室条件下完成的，不是真实入侵事件。所有利用链都还没有被第三方独立复现。Safari 与 Android 那两条连 CVE 编号都没给，只说苹果与谷歌已修复。

小结

这份披露的实际含义，不在于又多了一批 CVE 编号，而在于攻守两端的能力差距正在被技术手段本身抹平。一个未发布的内部模型可以在几小时内完成从读代码到写出可运行利用代码的全链路，还能在苹果和谷歌都自认防线最厚的地方各打开一个洞，其中 Linux 那条 53 分钟就能拿到 root，且失败只丢握手不崩机，攻击者可以一直重试。

值得记住的几个数字是：Chrome 侧 62 个 CVE、13 个沙箱逃逸、21 个渲染进程可控缺陷，Linux 侧 48 分钟泄露内核指针加 5 分钟执行 shell，以及 CVSS 9.8 的严重级评分。Anthropic 自己的公开材料还提到，Cyber Verification Program 的合作方在 4 月到 7 月之间经确认的软件漏洞至少 129000 个。同期的行业动作也在印证方向：OpenAI 用 GPT-5.6 Sol 找 PHP 漏洞，Chromium 156 的发布说明里同时出现 Anthropic 与 OpenAI 两个实验室的署名。

防守侧能做的事被这批材料说得挺清楚。别再等代码合并后再看漏洞，把扫描挪到代码合并请求阶段。同时要接受一个前提，当发现并写出利用代码的成本塌到接近零之后，补丁的部署速度就是唯一还剩下的防线。相关技术路径的对照可以看 Endor Labs 智能体安全基准 与 Claude 形式化验证 123 个开源库 两篇，前者量化了智能体功能正确率 87.2% 与安全正确率 37.4% 之间的落差，后者记录了同一个团队在证明方向上的另一条路线。

常见问题

Claude 挖出的漏洞是真实存在的吗

存在，且五个目标都已经完成修复。全部漏洞按协调披露流程提交给了对应厂商，Chrome 侧的 62 个 CVE 已随 Chrome 156 落地，Windows 与 Linux 两条分别对应 CVE-2026-33096 和 CVE-2026-98432。所有利用链都是在实验室环境中构建的概念验证，不是真实入侵事件，也还没有第三方独立复现。

模型是自主完成漏洞利用的吗

每条链都始于人类给出的初始提示，之后的漏洞定位与利用代码编写由模型自主完成。Anthropic 没有公布模型架构，也没有说明首次提示之后还有多少人工参与。这一点在评估能力边界时需要留意，目前的公开证据不足以把整套流程算作完全无人干预。

普通团队现在需要做什么

两件事。一是把漏洞扫描从代码合并之后挪到代码合并请求阶段，Anthropic 自己就是这么做的，并公开了一个 Claude Code 安全插件。二是把补丁部署速度当成核心指标，Chrome 侧 62 个 CVE 从发现到 Chrome 156 落地之间的时间窗，正是防守方能利用的全部余量。

相关阅读

• PHP2Shell 深度：9.2 分双重 RCE 波及 PHP 5.4 以来全部版本
• 微软披露 Storm-0940 攻击：ARTEX 智能体 3 小时拿下 2250 租户
• OpenAI 前沿模型断网训练：11 天暂停后，红队用缓存计时跨沙箱传密钥
• Endor Labs 智能体安全基准：功能正确率 87.2%，安全正确率仅 37.4%
• Claude 形式化验证 123 个开源库：1.8 亿行 Rocq 证明