摘要

Anthropic 发布研究报告，一个未发布的 Claude 模型在主流浏览器、操作系统和手机里自主挖出漏洞，串成五条能跑的攻击链。最狠的一条零凭据53分钟拿下 Linux 最高权限，锁屏手机照片被 USB 提走，漏洞已全部修复，但能力信号值得认真对待。

图片由ai生成

一、一个没发布的模型

10月27日，Anthropic 前沿红队发报告。过去几个月，一个从未公开发布的内部研究模型（名称未披露，用户拿不到）在全球使用最广的五款软件里找到漏洞，串成五条可运行的攻击链，大多无需用户交互。

分工明确，人给初始提示，Claude 自主找漏洞、写利用代码，全部报给了厂商，Anthropic 称均已修复。

二、五条里最要命的一条，53分钟拿 root

这条链针对开了多路径 TCP 监听器的服务器，攻击者发几个包就能以 root 权限执行任意命令，全程无需凭据和交互。

原理分两步。先利用内核网络栈的竞态条件，让内核多复制几个字节发回来，某次回复带出内核指针，地址随机化防护就被击败。再用同一个 bug 溢出缓冲区、覆写回调指针，让内核执行攻击者的命令。巧妙在竞态输了只是握手失败，机器不崩，可无限重试。

概念验证，48分钟泄露内核指针，5分钟执行命令，合计53分钟。对应编号 CVE-2026-98432，上游已打补丁。

但边界要划清。它只对开了多路径 TCP 监听的服务器有效，不是所有 Linux 系统都中招。而且公开 CVE 记录把它描述成崩溃类问题，红帽甚至把修复标记为缓办，厂商口径和「拿到 root」的结论之间有差距，值得盯。

三、另外四条

Chrome 收获最大。向 Google 报了62个 CVE，全部严重或高危，13个沙箱逃逸，已在156版全修。演示很直观，macOS 默认 Chrome 里打开恶意页面，几秒后计算器被启动，代码已跑到沙箱外。

Safari 更隐蔽。这条链从头到尾不执行攻击者代码，纯靠数据操作，读改安全标志位、对象大小和 URL，最后把同源策略关掉。之后恶意网页就能读用户已登录的其他网站，邮件、银行余额都在范围内。苹果当天确认，修复已上线。

安卓离普通人最近。Claude 结合开源代码分析、混淆二进制逆向和 Pixel 9 真机实测三种方法，串起三个漏洞逐层绕过四道防护，跳过的正是六位配对码验证，手机像用户点了允许，最后从锁屏手机里用 USB 提走照片和个人信息。前提是要物理拿到手机，Google 称已处理。

Windows 是拒绝服务。内核 QUIC 实现里的越界读，几个包就能让响应 HTTP/3 的服务器崩溃重启，反复发送可以持续打崩。编号 CVE-2026-33096，微软4月已发补丁。Anthropic 估计互联网上还有数百万台这样的服务器暴露在外。

四、比53分钟更值得看的

在我看来，更值得琢磨的是串联能力。历史上把单个漏洞拼成完整攻击链，是少数精英团队的活儿。这次模型只在人给方向的情况下做完了。这不是孤立事件，3月 Anthropic 发 Claude 写单漏洞利用的案例时，还特意说明只在简化测试环境成立，称之为早期预警。七个月后，预警变成对真实软件的全链攻击。

边界也要说清。五条链都在实验室验证，没有真实攻击证据。模型未发布，人工参与度未披露，技术细节在45天禁期内不会公开。

对普通人就两件事，用 Chrome 的更新到156以上，服务对公网暴露 HTTP/3 或多路径 TCP 的，确认内核已打补丁。