Claude 自主挖洞实战：五大平台 5 条攻击链，53 分钟拿到 Linux root

过去一年，安全圈反复讨论一个假设：如果让大模型自己去找漏洞，它究竟能做到什么程度？现在有了一份接近实战的答案。Anthropic 公布的一项研究显示，其内部一个尚未公开的 Claude 研究模型，在 Chrome、Safari、Android、Windows 和 Linux 五个平台上自主定位漏洞并写出可运行的利用代码，最终把多个漏洞串联成 5 条完整攻击链。相关漏洞已按协调披露流程报告厂商并修复——但整个过程只用了研究人员给出一次初始提示的时间。

一分钟速览

• Anthropic 用内部未公开的 Claude 研究模型，在五大平台发现漏洞并编写利用代码。
• Chrome 方向共提交 62 个严重或高危 CVE，含 13 个沙箱逃逸、21 个可控制网页渲染进程的漏洞，修复随 Chrome 156 发布。
• Claude 构造的 Chrome 概念验证可在页面加载后数秒内，在 macOS 默认环境中弹出计算器应用。
• Safari 的漏洞链可绕过同源策略，恶意网站有机会读取用户已登录账号的数据，苹果同日确认并修复。
• Android 攻击需要物理接触设备，可在 Pixel 9 锁屏状态下通过 USB 提取照片等个人数据。
• Windows 方向的核心漏洞 CVE-2026-33096 评分 7.5，无需认证与交互即可让服务器崩溃。
• Linux 方向 CVE-2026-98432 可实现零点击获取 root 权限，全程验证耗时 53 分钟。

53 分钟拿到 root：时间账里藏着能力的量级

Linux 那条链最值得细看。研究人员给出的数字是 53 分钟：其中 48 分钟用于泄露内核指针，5 分钟用于执行命令。这个时间分布说明了一件重要的事——模型并不是靠背诵已知漏洞库过关的，它花掉绝大部分时间在解决「地址随机化怎么破」这种需要连续推理、试错和状态跟踪的环节。拿到内核指针之后，剩下的命令执行反而是最容易的部分。

漏洞本身针对的是运行多路径 TCP 监听器的服务器：攻击者只需发送特定数据包，就能在没有任何凭据的情况下获得 root shell。这类零点击远程提权漏洞在真实攻防中的价值极高，因为它绕过了几乎所有依赖「用户不会点」的安全假设。传统上，从发现到写出稳定利用，一个成熟的安全团队需要数周甚至数月；而现在记录下来的时间是 53 分钟。

Chrome 的 62 个 CVE：不是找到，而是串起来

Chrome 方向的数字更直观：62 个严重或高危 CVE，13 个沙箱逃逸，21 个可以控制网页渲染进程。单看「找到漏洞」并不稀奇，模糊测试工具每年也能刷出大量崩溃样本。真正拉开差距的是串联能力。Claude 构造的攻击链从 V8 引擎漏洞起步，绕过内存沙箱，再利用 CacheStorage 的竞态条件和 FedCM 的释放后使用缺陷，最终在沙箱外执行任意代码。

这四步里，每一步单独看都可能只是「高危但难利用」，串起来才变成完整杀伤链。人类研究员做这件事靠的是经验与直觉，模型靠的是对代码语义的理解和对执行路径的搜索。当两者结合并且可以并行尝试成千上万条路径时，漏洞挖掘的经济学就被改写了。

Safari 那条链则是另一种思路：一次点击，绕过同源策略，让恶意网页读到本应隔离的其他站点数据——浏览器历史、Cookie、登录状态下的邮件与银行页面。同源策略是浏览器安全的基石，绕过它等于绕过了整个 Web 安全模型的第一道门。苹果在同一天确认并修复，这个响应速度本身也说明问题的严重性。

Android 与 Windows：物理接触与远程崩溃

Android 方向的限制条件更严格：需要物理接触设备。但在锁屏状态下通过 USB 提取照片等个人数据，仍然打破了一个广泛存在的心理预期——手机锁着就是安全的。对执法、取证、以及丢失设备的普通用户来说，这个结论都有实际影响。谷歌表示已处理该问题。

Windows 方向的核心是 CVE-2026-33096，评分 7.5，问题出在 QUIC 的内核实现上，属于越界读取：攻击者无需认证、无需用户交互，就能让响应 HTTP/3 请求的服务器反复崩溃。单点危害不算最高，但 QUIC 正在成为现代网络的基础协议，一旦这类漏洞被批量利用，拒绝服务攻击的成本会大幅下降。微软已于 2026 年 4 月发布补丁。

对防御方的真正冲击：披露节奏被压缩

这份研究最让安全团队不安的地方，不是漏洞本身，而是节奏。当攻击方可以用模型在几小时内完成「读代码—找缺陷—写利用—串联」的全流程，防御方的窗口就从「几个月」被压缩到「几天」。而企业的补丁流程、变更审批、灰度发布，恰恰是以周为单位的。

这也解释了为什么 Anthropic 选择强调「已按协调披露流程报告并修复」。在能力展示与责任披露之间，AI 公司需要一条清晰的界线：模型能做的事，不能变成任何人都能一键复现的工具。研究模型保持不公开，是这条界线的一部分。

趋势洞察：漏洞挖掘正在变成一种可规模化的服务

把这件事放进更大的趋势里看，会发现攻防两端正在同时被 AI 改造。进攻侧，漏洞发现从「专家手工」变成「模型批量扫描 + 人工筛选」；防御侧，代码审计、补丁生成、异常检测也在被模型接管。短期内，进攻侧的优势更明显，因为发现漏洞比修复漏洞便宜得多，而修复涉及兼容性、回归测试和组织决策。

对企业的现实建议只有三条：把暴露面收窄到最小，把补丁周期从月压到周，把第三方组件的清单真正维护起来。这三点听起来老套，但在模型把漏洞挖掘成本打到接近于零之后，它们的优先级会被重新排序——因为对手不再是少数几个高水平研究员，而是可以 7×24 小时不间断工作的自动化系统。