Anthropic 发表了一项研究，详细介绍了其未发布的内部模型之一如何发现并利用一些世界上使用最广泛的软件中的严重安全漏洞，其中包括 Google Chrome 中的 62 个已修补的漏洞，以及无需用户交互即可获得 Linux 服务器 root 访问权限的有效漏洞。
这些发现发表在公司的一篇题为“与 Claude 一起发现和利用关键的现实世界软件中的漏洞”的研究文章中，描述了跨越 Chrome、Safari、Android、Windows 和 Linux 内核的五个独立的攻击链。据 Anthropic 称，这项工作是在过去几个月中通过未发布的内部研究模型进行的，每个链都会导致远程代码执行或其他关键影响，而几乎没有用户参与。随着人工智能行业消化这对软件安全的意义，AI Buzz Wire 继续跟踪最新的人工智能发展。
根据 Anthropic 的条款协调披露
Anthropic 表示，它根据协调一致的漏洞披露政策向受影响的供应商报告了每个漏洞，该政策规定开发人员有 90 天的时间进行修补，并在公司讨论公共咨询中已包含内容之外的详细信息之前再有 45 天的时间。这个框架很重要：演习的目的不是将有效的武器投放到野外，而是通过可验证的概念验证漏洞来证明前沿模型现在可以进行安全研究，而这以前是小型、高度专业化团队的领域。
Anthropic 的研究人员写道：“所涉及的技能历来都是少数专业团队的领域。”他们指出，模型现在可以将多个漏洞链接到一个工作漏洞中，而无需人工参与，然后通过生成任何人都可以运行和验证的漏洞来证明这一点。该博文的作者为 Nicholas Carlini、David Dworken、Xinyang Ge、Ben Morris、Milad Nasr、Chris Rohlf 和 Luna Tong。
Chrome：62 个 CVE，13 个沙箱逃逸
最广泛的结果来自谷歌浏览器。在最初的提示后，Anthropic 的模型编写了一个完整的漏洞利用链，该链可以在默认配置的 macOS 机器上的 Chrome 沙箱之外执行任意代码——概念验证在页面加载后几秒钟内启动计算器应用程序，无需进一步的用户交互。
该链经历了四个不同的漏洞：V8 JavaScript 引擎中的堆损坏错误、突破 V8 内存沙箱并使用面向返回的编程链击败 ASLR 的第二个错误、CacheStorage 中用于映射特权浏览器进程内存的竞争条件，最后是 Chrome 的 FedCM 联合登录功能中的释放后使用，允许代码完全逃离沙箱。
Anthropic 报告称，从 Chrome 156 开始，共分配并修补了 62 个 CVE，所有这些 CVE 均被评为严重或高严重性，其中包括 13 个沙箱逃逸和 21 个可能用于危害渲染器进程的漏洞。
Safari、Android 和 Windows
Safari 链实现了对日常用户来说更令人震惊的事情：完全绕过同源策略，这是阻止一个网站读取另一个网站数据的基本规则。该模型链接了 JavaScriptCore 引擎中的释放后使用、WebKit 的 Gigacage 内存隔离的逃逸以及 WebContent 沙箱的 IPC 机制中的缺陷——允许恶意页面读取 Safari 历史记录和 cookie 并向其他域发出经过身份验证的请求。 Anthropic 指出，苹果公司在提交报告的当天就承认了该报告，并立即实施了修复。
在 Android 上，该模型结合了源代码分析、Google Play 服务二进制文件的逆向工程以及在物理 Google Pixel 9 上的实时测试，构建了一个漏洞，可通过 USB 从锁定的手机中提取照片和个人数据，从而绕过配对授权流程和六位代码验证步骤。
Windows 的发现是一次远程的、未经身份验证的崩溃：Windows 内核的 QUIC 实现中的越界读取，现在被跟踪为 CVE-2026-33096 并已由 Microsoft 修复。 Anthropic 估计有数百万台服务器响应 HTTP/3，并且可能因该漏洞而反复崩溃。值得注意的是，该公司表示，该模型通过纯二进制分析发现了该错误——在研究重构代码的弱点之前，使用 Ghidra 等工具对 Windows 可执行文件进行逆向工程。
Linux 内核：零点击 root
第五条链是安全团队可能会失眠的一条链。 Anthropic 的模型在 Linux 内核的网络堆栈中发现了竞争条件引发的释放后使用（追踪为 CVE-2026-98432），并构建了一个漏洞利用程序，将网络数据包发送到任何运行多路径 TCP (MPTCP) 侦听器的服务器，以 root 身份执行任意命令 — 无需凭据，无需用户交互。
该漏洞利用分为两个阶段：首先，它通过滥用竞争来触发重读，从而将内核指针泄漏回攻击者，从而远程击败 KASLR；然后它会溢出缓冲区以覆盖回调指针，链接现有的内核函数，直到攻击者选择的 shell 命令以 root 身份运行。在 Anthropic 的概念验证中，泄漏内核指针花了 48 分钟，大约 5 分钟后才进行 shell 访问。一个关键的启用属性：输掉比赛只是握手失败，而不会导致系统崩溃，因此攻击者可以无限期地重试。
Anthropic 表示，该漏洞已在上游修补，并向后移植到所有维护的稳定内核分支。然而，发行版的推出已经滞后——《黑客新闻》本周报道称，Ubuntu 和 Red Hat 还没有可用的固定内核，而 Go 项目发布了一个咨询警告，称 Go 程序默认启用多路径 TCP，从而使它们面临缺陷。
攻击者和防御者的新基准
除了单个错误之外，Anthropic 的帖子还描述了使规模成为可能的方法：一个并行运行大量扫描代理的平台，测量每个扫描仪造成的额外漏洞数量，并对每个已确认的发现应用自动变体分析。该公司还建议在拉取请求时进行扫描，并为此公开发布了 Claude Code 安全插件。
对于防御者，Anthropic 正在扩展其网络验证计划，该计划使合格的安全专业人员能够访问先进的网络功能及其最强大的模型，包括 Claude Opus 5.5、Claude Sonnet 5.5 和 Claude Mythos 5.1。该公司的建议仍然很直白：先扫描你自己的代码，然后再扫描别人的模型。
这一事件是有关人工智能和网络攻击的持续争论中的一个生动的数据点。前沿实验室花了两年时间争论模型可以很快发现并链接现实世界的漏洞——至少本周，有效的漏洞利用已经满足了举证责任。
如需持续报道人工智能安全研究、模型发布和政策，请关注 AI Buzz Wire。
