Claude 自主挖洞串出攻击链

Anthropic 的 Frontier Red Team 在 10 月 27 日发布的报告里称，一个未公开发布的 Claude 内部研究模型在只拿到初始提示之后，就能自己定位漏洞、自己写出可用的利用代码：向 Google 提交的发现折算成 62 个 CVE，全部定级严重或高危，修复随 Chrome 156 发布；另一条针对 Linux 内核的攻击链从发包到拿到 root shell 只花了约 53 分钟。报告出自 Anthropic 官网研究栏目，所有漏洞均按协调披露流程报告给了厂商。

要点

Chrome 是最大一笔：报告称相关发现共获分配 62 个 CVE，含 13 个沙箱逃逸和 21 个可控制渲染进程的漏洞，修复随 Chrome 156（10 月 20 日）发布；概念验证是页面加载数秒内，在默认配置的 Chrome 上从 macOS 弹出计算器。
五条攻击链覆盖四家厂商：Chrome 全链利用、Safari 同源策略绕过、Pixel 9 锁屏状态下经 USB 提取照片、Windows QUIC 远程崩溃（CVE-2026-33096）、Linux 多路径 TCP 零交互 root（CVE-2026-98432）。
安全情报平台 Mallory 逐条比对公开记录后指出：两个 CVE 的公开描述与 Anthropic 的映射对不上，模型「自主性」也没有独立验证——这些主张目前只有 Anthropic 自己的说法作支撑。

五条链做了什么

五条链里信息量最大的是 Chrome：模型先用一个 V8 堆损坏漏洞起步，再用第二个漏洞绕过 V8 内存沙箱和 ASLR（经 ROP 链），接着借 CacheStorage 的竞态条件读出渲染沙箱外的内存布局，最后用 FedCM（联合登录）里的释放后使用缺陷在沙箱外执行代码——报告描述的终局是页面加载数秒内打开 macOS 计算器，全程无需用户再点一下。Safari 那条链从 JavaScriptCore 的释放后使用起步，经 TypedArray 元数据覆写和 Gigacage 绕过拿到 Gigacage 外的任意读写，再用一个 WebContent 沙箱 IPC 机制漏洞从磁盘读出 Safari 存储的浏览历史、Cookie 和会话数据库，最后用那个释放后使用覆写内存里的变量、直接关闭同源策略；按报告的说法这是纯数据攻击，不需要执行代码，任意网站的 JavaScript 由此可以读取浏览历史、Cookie 并发送跨站已认证请求。Android 链条针对一台实体 Pixel 9：三个漏洞分别打掉 USB 数据传输阻断、设备间配对授权校验和六位锁屏码验证，绕过方式是让系统以为用户点了「允许」，此外还有一条绕过文件内容硬编码校验的原始字节 USB 备用路径。Windows 侧是内核 QUIC（HTTP/3）实现里的越界读（CVE-2026-33096），几个数据包就能让响应 HTTP/3 的机器崩溃重启并可反复触发，Anthropic 估计全网有几百万台这样的服务器在监听——这个数字是它自己的估算。Linux 链条（CVE-2026-98432）打的是多路径 TCP 监听器：内核网络栈里竞态导致的释放后使用，第一阶段用攻击者可控的长度字段越界读泄露内核指针打掉 KASLR，第二阶段用缓冲区溢出覆写回调指针，借常规协议特性摆放 payload，链起内核函数调用直到 shell 以 root 执行；因为输掉的竞态只会让握手失败，可以反复重试，报告给出的实测是 48 分钟泄露内核指针、再 5 分钟拿到 shell。

自主性怎么说

每条链的表述里都带着同一个限定语——「初始提示之后」。报告没有展开初始提示之外还有多少人参与、参与多深，这也是整份报告最容易被略过的注脚。模型的工作方式倒是写了细节：Windows 那条链是用 Ghidra 做二进制分析，把内核代码重实现成带注释的 C 再与二进制比对找差异，且是在被要求「找风险更高的问题」时才浮出水面；Android 链条则组合了 Android 开源代码审读、Google Play 服务二进制的逆向去混淆，以及在实体 Pixel 9 上的实测。Anthropic 还把功劳归于测试时算力扩展和扫描器多样性：一个并行扫描平台度量每个扫描策略新增的漏洞数和覆盖率，策略分覆盖驱动、目标驱动、威胁模型驱动三路，确认的发现再走自动化变体分析。随报告一起发布的还有扩展版 Cyber Verification Program（点名 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1），面向通过审核的安全从业者，以及一个 Claude Code 安全指引插件，建议把漏洞扫描提前到 PR 环节。

核查与争议

安全媒体 Mallory 在 10 月 28 日的核查里把公开记录逐条对了一遍，结论是「模型声称的自主性及其在每条链中的贡献未经独立验证」，并提醒读者把「实验室演示出的结果」和「关于自主利用的未验证主张」分开。具体分歧有三处：CVE-2026-33096 的公开记录对应的是 HTTP.sys 而非 Anthropic 所说的 QUIC，2026 年 4 月的补丁定级 7.5，公告既没写发现者也没解释组件描述的差异；CVE-2026-98432 上游 10 月 15 日修复、定级 9.8，但公开描述针对 IPv4 TCP 而非多路径 TCP，映射成立与否取决于 Anthropic 的单方陈述；Chrome 62 个 CVE 的总数也只有 Google 发行说明部分佐证——致谢里 Xinyang Ge「由 Claude 协助」只对上了其中几个修复。Pixel 9 那条链的修复同样没有公开记录可查。也有对得上的部分：Apple 同日确认收悉 Safari 报告并修复了 JavaScriptCore 释放后使用（Mallory 记为 iOS/iPadOS 26.5.2，致谢名单里出现「由 Claude 协助」）。IT之家在中文报道里写 Safari「同日确认并修复」——「同日」以 Apple 确认收悉为准，修复时间线各家表述并不一致。需要说明的是，整件事发生在 Anthropic 自己控制的实验环境里，所有漏洞都报给了厂商，报告没有提到任何现实世界的攻击。

编辑判断

把这份报告放进本站的时间线看，它不是孤立事件：10 月 14 日 XBOW 用 GPT-5.6 六天拼出 Chrome 全链利用，拿下谷歌 25 万美元满额赏金，10 月 24 日 OpenAI 红队报告了 Brotli 未认证 RCE，此前 Anthropic 红队还交出过小模型逼近自我复制能力线和 Claude 查明 NIST 椭圆曲线种子来源两份报告。模式已经清楚：AI 安全研究从「辅助人找洞」过渡到「模型自己找洞、自己写利用」，防御方按 90 天修复加 45 天后公开细节的协调披露节奏应对，成本结构在向攻击侧倾斜。对跑基础设施的人，两个 CVE 值得今天就查：面向公网开 HTTP/3 的服务确认补丁已在（微软 2026 年 4 月已发），内核开多路径 TCP 监听的非必要服务器直接关掉。对评估 AI 能力边界的人，保留 Mallory 那份质疑是对的——自主性是厂商自述，CVE 映射有出入，62 这个总数没有第三方核验；但即便打上这些折扣，「模型能串起多漏洞利用链」这个结论本身，Google 和 Apple 的致谢名单已经给出了部分背书。