Claude串出5条零日攻击链

Claude 不只会找漏洞，已经开始把漏洞串起来

Anthropic 在 10 月 27 日披露了一项足以改变漏洞研究工作流的实验：一个未公开发布的内部 Claude 研究模型，在 Chrome、Safari、Android、Windows 和 Linux 中发现安全漏洞，并进一步组合出 5 条能够实际运行的攻击链。

攻击链是把多个漏洞、配置弱点或竞态条件依次组合，最终实现数据窃取、越权、系统崩溃或远程代码执行的一整套利用路径。 对现代浏览器和操作系统而言，找到单个漏洞往往只是起点；真正困难的是连续突破渲染进程、内存沙箱、操作系统权限等多层防线。

这也是此次研究比“AI 找到多少个 Bug”更值得关注的地方。根据 Anthropic 披露的数据，Claude 向 Google 提交的 Chrome 漏洞报告最终产生了 62 个严重或高危 CVE，其中包括 13 个沙箱逃逸漏洞和 21 个能够控制网页渲染进程的漏洞，相关修复已经随 Chrome 156 发布。

这 62 个 CVE 不能简单理解为一次更大规模的自动化代码扫描。 Anthropic 展示的能力已经覆盖漏洞定位、触发条件分析、概念验证编写和跨漏洞组合，模型甚至能让攻击在 macOS 默认安装环境中完成闭环：用户打开页面后数秒，系统计算器应用便会被启动。

62 个 Chrome CVE，只是最醒目的数字

Chrome 是此次研究中漏洞数量最多、利用链也最复杂的目标。 Claude 构造的 Chrome 攻击从 V8 JavaScript 引擎漏洞开始，随后突破 V8 的内存沙箱，再利用 CacheStorage 竞态条件和 FedCM 的释放后使用缺陷，最终在浏览器沙箱之外执行任意代码。

V8 内存沙箱是 Chrome 用来限制 JavaScript 引擎内存破坏范围的一道隔离边界。 即便攻击者在 V8 内部获得了较强的读写能力，理论上也只能在受限制的地址空间中活动，不能直接控制整个浏览器进程，更不能轻易调用操作系统能力。

释放后使用漏洞（Use-After-Free，UAF）是程序继续访问已经释放的内存对象所产生的内存安全缺陷。 如果攻击者能够控制这块内存被重新分配后的内容，就可能把一次普通崩溃转化为对象伪造、任意内存读写，乃至控制程序执行流。

竞态条件是多个异步操作因执行顺序不确定而产生的安全缺陷。 这类漏洞通常比单纯的越界读写更难稳定复现，因为攻击者不仅要构造错误状态，还要让多个线程或任务在极窄的时间窗口内按预期交错运行。

Chrome 这条链的价值，在于 Claude 没有停留在“找到一个 V8 崩溃样本”。它继续寻找下一块拼图：先把渲染进程中的内存破坏升级为更稳定的利用原语，再绕过 V8 沙箱，随后借助浏览器组件中的竞态条件和 UAF 突破进程隔离，最终触达 macOS 系统能力。

页面加载数秒后自动打开计算器，是安全研究中常见的远程代码执行概念验证。 计算器本身没有攻击价值，但它证明恶意网页已经越过浏览器原本设定的安全边界，能够启动本地应用；把计算器替换成其他载荷，在技术路径上通常不再是最困难的一步。

需要注意的是，Anthropic 公布的分类数字可能存在交叉，例如某个漏洞既能帮助控制渲染进程，也可能成为沙箱逃逸链的一部分。因此，13 个沙箱逃逸漏洞与 21 个渲染进程控制漏洞不应直接相加并理解为 34 个互不重叠的漏洞，更准确的总量仍是 62 个严重或高危 CVE。

五条攻击链横跨浏览器、手机、服务器和内核

此次研究覆盖的五条攻击链代表了五种完全不同的攻击面。 Chrome 和 Safari 面向普通网页访问场景，Android 涉及锁屏设备和物理接口，Windows 指向网络服务可用性，Linux 则直接触及服务器最高权限。

| 目标平台 | 入口或前置条件 | 核心突破 | 最终效果 | 已知修复状态 | |---|---|---|---|---| | Chrome | 用户加载恶意页面 | V8 漏洞、内存沙箱绕过、CacheStorage 竞态、FedCM UAF | 逃出浏览器沙箱并执行任意代码 | 随 Chrome 156 修复 | | Safari | 用户点击恶意链接或页面 | 绕过同源策略 | 读取浏览历史、Cookie 和登录状态等跨站数据 | Apple 已确认并发布修复 | | Android | 攻击者物理接触设备并连接 USB | 绕过锁屏状态下的数据保护边界 | 从 Pixel 9 提取照片等个人数据 | Google 表示已处理 | | Windows | 无需认证、无需用户交互 | 触发 HTTP/3 服务端漏洞 CVE-2026-33096 | 让响应 HTTP/3 请求的服务器崩溃 | Microsoft 已于 2026 年 4 月修复 | | Linux | 目标运行多路径 TCP 监听器 | 泄露内核指针并完成内核级利用 | 无凭据获得 root shell | 已按协调披露流程处理 |

Safari：一次点击跨过网站之间的墙

Safari 攻击链击穿的是浏览器最基础的同源策略。 同源策略是浏览器用于隔离不同域名、协议和端口数据的安全规则，它防止一个恶意网站直接读取用户在邮箱、云盘或企业系统中的登录数据。

Claude 构造的“一次点击”攻击链能够绕过这层隔离，让恶意网页访问原本属于其他网站的数据。按照 Anthropic 披露的影响范围，攻击者可能读取浏览历史、Cookie 和登录状态；Apple 已在报告披露同日确认问题并发布修复。

这类漏洞的危险不一定表现为控制整台电脑，而是借用用户已有的登录身份。 对启用了大量 SaaS 服务的企业用户而言，浏览器本身就是身份边界，一旦跨站隔离失效，攻击者可能不需要窃取密码，就能接触用户当前会话中的敏感信息。

Android：锁屏并不等于数据绝对不可访问

Android 攻击链要求攻击者物理接触设备，因此它不是可从互联网批量发起的远程攻击。 在 Anthropic 的验证中，攻击者连接处于锁屏状态的 Pixel 9 后，可以通过 USB 提取照片等个人数据，Google 表示已经处理相关问题。

物理接触条件降低了大规模攻击风险，却没有让问题变得无关紧要。遗失手机、临时离手设备、边境检查、取证环境和高价值目标的定向攻击，都会把“必须接触设备”变成现实可满足的条件。

这条链说明 AI 已能分析硬件接口、锁屏状态和系统服务之间的组合边界。 它处理的不只是某段孤立代码，而是多个系统组件在特定设备状态下如何交互，这类状态机问题长期以来都很依赖研究人员的经验。

Windows：一个数据包方向的拒绝服务入口

Windows 漏洞 CVE-2026-33096 是一个 CVSS 评分为 7.5 的 HTTP/3 服务端漏洞。 攻击者无需认证，也不需要诱导用户点击，即可让响应恶意 HTTP/3 请求的服务器崩溃；Microsoft 已于 2026 年 4 月发布补丁。

HTTP/3 建立在 QUIC 之上，将更多传输逻辑放到用户态，并依赖 UDP 处理连接。对于面向公网、启用 HTTP/3 且尚未安装补丁的服务器，无认证、无交互的崩溃条件意味着攻击者可以把漏洞用于拒绝服务，而不必先拿到账户或进入内网。

这条链的直接后果是可用性破坏，而不是权限接管。 但对于网关、反向代理和关键业务服务，稳定触发崩溃已经足以造成实际损失，尤其是在自动重启后仍可被重复触发的情况下。

Linux：53 分钟拿到 root shell

Linux 漏洞 CVE-2026-98432 是五个案例中后果最严重的一项。 目标是运行多路径 TCP，也就是 MPTCP 监听器的服务器；攻击者只需向目标发送数据包，不需要凭据，便可最终获得 root shell。

MPTCP 是允许一条逻辑连接同时使用多个网络路径的 TCP 扩展，例如同时利用 Wi-Fi 和蜂窝网络。它提升了吞吐和连接韧性，但也引入了更复杂的状态管理、子流调度和内核网络处理路径，复杂度本身就会扩大攻击面。

root shell 是攻击者以 Linux 最高系统权限执行命令的交互式环境。 一旦拿到 root，读取服务器数据、修改系统配置、植入持久化程序和横向移动通常都成为可能，因此它比单个服务崩溃高出一个完整的风险等级。

Anthropic 的验证总计耗时 53 分钟：其中 48 分钟用于泄露内核指针，5 分钟用于完成命令执行。换算下来，约 90.6% 的时间消耗在绕过地址随机化和建立可靠利用条件上，真正从可用原语推进到执行命令只占 9.4%。

53 分钟这个数字揭示了内核利用中最难的一环。 模型并不是“看到漏洞就立刻获得 root”，它仍要解决地址空间布局随机化、内核对象状态和利用稳定性等问题；但一旦关键地址被泄露，后续提权过程已经能够在数分钟内完成。

真正的变化，是从找 Bug 跨到做 Exploit

AI 安全研究过去最明显的不对称，是找漏洞强、稳定利用弱。 今年早些时候披露的 Firefox 项目中，Claude 在两周内扫描近 6000 个 C++ 源文件，生成 112 份独立 Bug 报告，最终确认 22 个 CVE，其中 14 个为高危漏洞；但在数百次利用尝试和约 4000 美元投入后，只有两个概念验证成功，而且还需要关闭浏览器沙箱。

此次五条可运行攻击链意味着这种不对称正在缩小。 Chrome 链需要连续跨越 V8、内存沙箱、浏览器组件和进程隔离，Linux 链则需要先泄露内核指针再完成 root 命令执行，这已经不再是批量生成崩溃样本的能力。

| 2026 年公开案例 | 漏洞发现规模 | 利用结果 | 人工参与情况 | 代表意义 | |---|---:|---|---|---| | Firefox 两周研究 | 22 个 CVE，14 个高危 | 仅 2 个 PoC 成功，且需关闭沙箱 | 研究团队负责验证和协调 | AI 已能规模化发现真实漏洞 | | 4 月外部 Chrome 实验 | 串联 2 个漏洞 | 在旧版 Chromium/Electron 环境实现代码执行 | 约 20 小时人工指导、1765 次请求 | 强模型可在专家持续引导下开发利用链 | | Anthropic 10 月内部研究 | Chrome 产生 62 个严重或高危 CVE，覆盖五大平台 | 形成 5 条可运行攻击链 | 初始提示后可自主定位并编写利用代码，仍由研究团队验证 | AI 开始承担端到端漏洞研究任务 |

今年 4 月公开的一次外部实验还显示，研究人员使用 Claude Opus 为旧版 Chromium 环境构造攻击链，累计消耗约 23 亿 tokens、发起 1765 次请求、花费约 2283 美元，并需要约 20 小时人工指导。那次实验的关键限制非常明确：模型会丢失长上下文、猜测内存偏移、陷入循环，还需要研究人员持续反馈调试器结果。

Anthropic 此次报告最需要核实的进步，是自主性究竟提升了多少。 官方描述是研究人员给出初始提示后，Claude 能自主定位漏洞并编写利用代码；但这不等于模型独立完成了项目选择、环境搭建、结果验证、风险评级、厂商沟通和补丁审查。

安全研究中的“自主”至少有三个层级：第一层是自动浏览代码并提出可疑点，第二层是生成能够稳定复现的最小测试，第三层才是跨组件构造完整攻击链。Anthropic 的内部模型显然已经触及第三层，但研究团队仍然承担了实验边界、基础设施和负责任披露等关键工作。

这不是普通 Claude 用户立刻就能复制的能力

Anthropic 并未公开此次内部研究模型，也没有说明它等同于某个面向公众的 Claude 版本。 因此，不能把报告结论直接外推成“任何人打开 Claude 都能自动获得 Chrome 零日攻击链”。

模型之外的配套环境同样重要。高水平漏洞研究需要可编译的目标代码、符号信息、崩溃转储、覆盖率数据、调试器反馈、版本管理以及能够反复回滚的隔离环境；如果没有这些工具，模型即便提出正确猜测，也很难完成验证。

但“暂时无法一键复制”并不能削弱这项研究的行业影响。 一旦模型能力被封装进持续集成系统，软件厂商便可以对每次提交持续进行语义审计、模糊测试和利用验证；与此同时，攻击者也能把模型接入相似工具，对尚未及时升级的下游软件进行低成本筛选。

最大的现实风险，可能是补丁落差而不是零日

补丁发布不等于风险消失，真正危险的是修复已经公开、下游产品却仍在运行旧代码。 Chrome 156 已经包含相关修复，但 Chromium 被广泛嵌入 Electron 桌面应用、企业终端、智能设备和定制浏览器，这些产品的升级节奏往往慢于 Chrome 主线。

零日漏洞是厂商尚未知晓或尚无补丁的漏洞，而 n-day 漏洞则是修复已经存在、攻击者可以通过补丁差异反推出成因的已知漏洞。AI 擅长快速阅读代码和比较版本，这会显著压缩从补丁发布到攻击代码出现之间的窗口。

对开发团队而言，未来的补丁时钟可能从“按月升级”变成“按天升级”。 当 AI 能自动分析安全补丁、定位受影响路径并尝试构造利用时，依赖“攻击者需要数周逆向补丁”的旧经验已经不再可靠。

企业除了升级 Chrome 156，还应检查 Electron 和内嵌 Chromium 的实际版本，而不能只查看系统默认浏览器。服务器侧则应确认 2026 年 4 月 Windows 安全更新是否部署，并盘点暴露于公网的 HTTP/3 服务；使用 Linux MPTCP 的组织，也应核对内核修复状态和监听器暴露范围。

Anthropic 赢下的是一场防御窗口竞赛

这项工作的正面价值，是 62 个 Chrome 高危或严重漏洞及其他平台问题都在协调披露后得到修复。 Claude 扮演的是防御团队的放大器：它能持续阅读庞大代码库、保留大量候选路径，并在测试失败后快速调整假设。

这项工作的负面信号，是攻防双方正在获得同一种能力。 一条可靠攻击链所需的知识原本分散在浏览器引擎、内存利用、操作系统内核和网络协议等多个领域，现在模型开始能够在这些领域之间搬运上下文、寻找接口，并自动补齐利用链缺失的环节。

Anthropic 当前选择先与厂商协作、待补丁发布后再披露结果，是合理且必要的顺序。但随着类似能力扩散，行业不能只依靠模型提供商的安全策略。模型访问控制、网络安全评估、工具权限隔离、异常任务监控和漏洞披露机制，都需要与模型能力同步升级。

我们的判断是，这不是“AI 自动黑客已经成熟”，而是漏洞研究的成本曲线已经出现拐点。 模型尚未替代顶级安全研究员，却已经能把研究员从逐文件排查、重复调试和候选路径验证中解放出来，并开始完成过去需要多个专家协作的跨组件利用链。

62 个 Chrome CVE 固然醒目，但真正需要记住的是另外两个数字：5 条可运行攻击链，以及 Linux 提权验证所需的 53 分钟。 前者说明模型已经学会组合漏洞，后者说明它开始把复杂利用压缩到可重复、可计时的工程流程里。

用户和开发团队现在该做什么

个人用户最直接的动作是将 Chrome 升级到 156 或更高版本，并确认自动更新已经真正完成。 浏览器提示“正在更新”并不等于新版本已经生效，通常仍需重启浏览器加载新二进制文件。

开发团队最容易遗漏的是基于 Chromium 的桌面应用和内嵌 WebView。 应建立软件物料清单，记录 Electron、Chromium、WebView 和系统内核版本，并把上游安全更新传播到正式产品所需的时间纳入安全指标。

服务器团队需要优先核查无需认证即可触发的网络入口。 面向公网的 HTTP/3 服务、MPTCP 监听器以及未完成 2026 年安全更新的主机，应进入紧急排查范围，而不是等待常规季度维护窗口。

安全团队则应把 AI 纳入漏洞发现流程，但不能跳过人工验证。 模型适合扩大代码覆盖面和生成候选测试，人类仍需判断漏洞是否可达、利用是否稳定、影响范围是否准确，以及披露过程是否会给尚未升级的用户带来额外风险。

参考来源

• IT之家：Claude AI 找漏洞实战，锁屏提取照片、53 分钟攻破 Linux —— 汇总 Anthropic 10 月 27 日研究报告中的 Chrome、Safari、Android、Windows 与 Linux 漏洞数据、五条攻击链及厂商修复进展。