Anthropic 前沿红队 10 月 27 日发布报告，称一个未公开的内部 Claude 研究模型在 Chrome、Safari、Android、Windows 和 Linux 上找到了漏洞，并串成 5 条能实际运行的攻击链。所有漏洞都已按协调披露流程报给厂商，报告发布时均已修复。
报告的说法是，每个案例里研究人员只给了初始提示，之后定位漏洞、编写利用代码的大部分工作由模型完成。这个模型叫什么、会不会发布，报告没有说明。
五条链各打哪里
Chrome（macOS，一次点击远程执行）：模型先找到 V8 引擎里的堆损坏漏洞，再突破 V8 内存沙箱、绕过地址随机化，接着用 CacheStorage 的竞争条件读取浏览器进程内存，最后借 FedCM 的释放后重用漏洞在沙箱外执行代码。默认安装的 macOS 上，页面加载几秒后计算器就弹了出来。
Safari（一次点击）：从 JavaScriptCore 的释放后重用漏洞入手，绕过 Gigacage 隔离，再利用 WebContent 沙箱的进程间通信漏洞读取历史记录、Cookie 和会话数据库，并关掉同源策略。这条链不需要任意代码执行，纯靠读数据，就能拿到其他网站上已登录的邮箱或银行页面内容。苹果当天确认并修复。
Android（锁屏绕过）：模型结合源码分析、对 Google Play 服务的逆向和在 Pixel 9 实机上的测试，依次绕过 USB 限制、设备间传输授权、六位数配对验证和文件内容限制，从锁屏状态的手机里取出照片等个人数据。谷歌称已处理。
Windows（远程拒绝服务）：Windows 内核的 QUIC 实现有越界读取，远程发几个数据包就能让机器崩溃重启，重复发送可以持续打断服务。报告估计互联网上受影响的服务器约有数百万台。对应 CVE 编号 CVE-2026-33096，微软已修复。
Linux（零点击远程执行）：漏洞在多路径 TCP 监听器里，是竞争条件导致的释放后重用。攻击者无需凭据，远程绕过内核地址随机化后劫持控制流，以 root 权限执行命令。概念验证中泄露内核指针用了约 48 分钟，之后约 5 分钟拿到命令执行。补丁已进入上游，并回移植到所有维护中的稳定内核分支。
Chrome 一家 62 个 CVE
Chrome 是报告里数字最多的一项。Anthropic 向谷歌报告的漏洞共分到 62 个 CVE，全部是高危或严重级别，其中 13 个是沙箱逃逸，21 个可以用来控制渲染进程，均已在 Chrome 156 中修复。报告还提到在 OpenBSD、FreeBSD 上找到了本地提权漏洞，以及若干沙箱逃逸和 Web 应用漏洞，没有逐一展开。
“Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit.” （前沿模型已经能够发现多个漏洞，并把它们组合成可用的攻击程序。）
报告没有给出总耗时和算力成本，只有 Linux 那条链有具体时间。
和此前的红队成果对照
把它和今年早些时候的公开案例放在一起看，差别在人工介入的程度。外部研究者此前用 Claude Opus 针对旧版 Chromium 做攻击链，公开记录里是约一周时间、20 小时左右的专家手把手引导、上千次请求。这次报告强调的是”初始提示之后由模型完成”，而且目标是当时最新的浏览器和内核，不是关掉防护的测试环境。
同一周，谷歌发布的 Gemini 4 Carbon 也把找漏洞、验证漏洞、写补丁的基准分数放在首位，并且首批只开放给网络防御方。Anthropic 这次同样没有开放该研究模型，公开可用的 Mythos 5.1 等模型则通过网络安全验证计划提供给通过审核的安全从业者。
给防御方的建议
报告的建议偏向实操：大规模扫描时加大测试时算力、换用多样化的扫描器，能明显提高漏洞发现数量；除了清理存量漏洞，还应在 PR 阶段扫描，减少新漏洞进入代码库。Anthropic 为此公开了一个 Claude Code 插件。
“Our advice to defenders remains the same: scanning your own code is more important than ever.” （我们给防御者的建议不变：扫描自己的代码比以往任何时候都重要。）
披露流程上，厂商有 90 天修复期，之后再留 45 天，才讨论公告以外的技术细节。照这个流程，报告里写到的只是已经修完的部分，模型找到但尚未修复的漏洞总数，Anthropic 没有公布。
参考来源：Anthropic 前沿红队研究报告、IT之家、CocoLoop；核验五条攻击链涉及系统、Chrome 的 CVE 数量与分类、Linux 概念验证耗时。