一个模型连破五套系统，62个漏洞全被修复

一个还没发布的模型，被提示之后在实验室里把 Chrome、Safari、Android、Windows 和 Linux 的安全漏洞串成了可运行的验证性攻击。Anthropic 在最新报告里给出了这个说法。

这些攻击是在实验室里构造出来的，不是在真实攻击中被发现的。Anthropic 表示，每一个漏洞都先报告给了厂商，因此目前全部已经修复。其中一个验证程序在页面加载后几秒内，就在一台未改动的 Mac 上打开了 Chrome 里的计算器应用，不需要再点任何东西。

Anthropic 的 Frontier Red Team 在一篇研究文章里描述了五条攻击链。最值得注意的不是某一个单独的漏洞，而是一个模型找出了多个彼此独立的漏洞，并把它们组合成可运行的攻击。该公司称，此前这类工作一直由少数专业团队完成。这一能力主张来自 Anthropic 自己的说法。

补丁本身，以及苹果和谷歌在具体修复中致谢 Anthropic 及其 Claude 模型这一事实，可以向厂商核实。读者无法核实的是，每条攻击链里有多少是模型自己完成的。Anthropic 说这项工作只需要“初始提示”和“很少的人工参与”，但没有拆解人在每一步做了什么，也没有说明模型的具体名称，只称其为一个未发布的内部研究模型。

在唯一有独立公开记录的漏洞上，也就是 Windows 那个，记录里根本没有列出发现者。以下是这五条攻击链各自能做什么、需要什么条件，以及修复落在了哪里。

Chrome：四个漏洞接力

在 Chrome 这条链里，模型依次使用了四个独立漏洞。一个恶意页面首先破坏了 V8（Chrome 的 JavaScript 引擎）中的内存。

第二个漏洞逃出了 V8 的内存沙箱，控制了 Chrome 中负责渲染页面的部分。随后，一个名为 CacheStorage 的功能里的竞态条件，让这段代码读到了本不该触及的内存，并摸清了权限更高的浏览器进程的布局。

最后一个 use-after-free 漏洞位于 Chrome 的登录功能 FedCM 中，让攻击得以完全在沙箱之外执行代码。Anthropic 称，它向谷歌报告了 62 个漏洞，这些漏洞被分配了 CVE 编号，并已在 Chrome 156 中修复，全部被评为严重或高危，其中包括 13 个沙箱逃逸。

谷歌自己的发布说明在具体的 Chrome 修复中致谢“Anthropic 的 Xinyang Ge，在 Claude 协助下”，但并未覆盖全部 62 个。

Safari：不执行代码也能读数据

Safari 这条链不同，因为它根本不运行代码。它串联漏洞，获得对浏览器内存的完整读写权限，然后改动一个值，关掉同源策略——这条规则本来用于阻止一个网站读取另一个网站的数据。

规则一旦关闭，恶意页面就能读取用户的历史记录和 cookie，并向其他网站发送已登录状态的请求。苹果在 iOS 和 iPadOS 26.5.2 中修复了这条链核心的 use-after-free 漏洞，并致谢“Milad Nasr 和 Nicholas Carlini with Claude, Anthropic”。

Windows：最窄的一条

Windows 这条链有独立的公开记录，同时也是范围最窄的。它是一种拒绝服务攻击：几个网络数据包就能让机器崩溃，重复发送则让它持续宕机，但不会执行代码或窃取数据。Anthropic 将该漏洞描述为 Windows 内核 QUIC 处理中的越界读取。

它指向的漏洞公开记录 CVE-2026-33096 却写的是 HTTP.sys，也就是 Windows 内置的 Web 请求处理器，评分为 10 分制的 7.5 分。没有公开来源把这两种描述关联为同一个组件。该 CVE 记录没有致谢任何发现者，因此 Anthropic 对这个漏洞的发现权只来自它自己的文章。

截至十月下旬，美国政府的漏洞信息补充库将该漏洞标记为未被利用，它也不在 CISA 的已知被利用漏洞目录中。

Linux：影响最严重

Linux 这条链的影响最严重：它能在无需登录的情况下，通过网络以 root 权限执行命令。它需要目标服务器运行 multipath TCP 监听器。模型首先泄露一个内核内存地址，绕过名为 KASLR 的防御，然后复用同一个竞态条件漏洞，把程序重定向到攻击者已经放置好的代码，最终得到一个 root shell。

Anthropic 称，其验证程序花了 48 分钟泄露地址，再花 5 分钟拿到 shell，而且失败尝试不会导致系统崩溃，攻击者可以反复重试。

该公司将这条链与 CVE-2026-98432 关联，这是一个内核 use-after-free 漏洞，评分 9.8，已于 10 月 15 日在上游修复；该 CVE 的公开记录描述的是一次 IPv4 TCP 修复，而非 multipath TCP，两者仅由 Anthropic 的文章联系在一起。

公司给出的理由

Anthropic 把这件工作定位为对防御方的帮助。它表示，每个漏洞都按照协调披露政策报告，该政策给开发者 90 天修复时间，再加 45 天，之后才会讨论公开公告之外的细节。它还向安全团队推荐其扩展后的 Cyber Verification Program，该计划让经过审核的专业人士访问 Claude Opus 5.5、Sonnet 5.5 和 Mythos 5.1。

公司给出的公开理由是它自己的原话：“现在，这是模型可以在很少人工参与下做到的事，然后通过产出一个任何人都能运行和验证的可运行攻击来证明。”