Claude 一口气攻破 Chrome、Safari、安卓、Windows 和 Linux：62 个 CVE 全是它找的

过去几个月，Anthropic 拿一个还没对外发布的内部研究模型，对世界上”最不能出错”的那批软件做了一轮安全审计。结果有点吓人：Chrome、Safari、Android、Windows、Linux 五个目标全部被攻破，其中好几个攻击链只需要用户打开一个网页，甚至完全不需要任何交互。

这些漏洞都已经按协同披露流程报给了对应厂商，绝大多数补丁也已经推送。换句话说，现在公开的是”已经修好的故事”，而不是还在路上的零日。

核心看点

• Chrome：一键远程代码执行，Google 已分配并修复 62 个 CVE，全部为严重或高危，其中 13 个是沙箱逃逸
• Safari：同源策略被彻底绕过，可以读历史记录、Cookie，甚至代你向网银发请求
• Android：锁屏绕过，一台偷来的 Pixel 9 不解锁就能被导出照片
• Windows：远程拒绝服务，CVE-2026-33096，潜在受影响服务器数百万台
• Linux：零点击、无凭据、直接拿到 root，CVE-2026-98432

一、Chrome：从一个页面到系统里的计算器

在给定初始提示词之后，Claude 自己写出了一条完整的利用链，最终能在浏览器沙箱之外以用户身份执行任意代码。PoC 的效果很直观：在 macOS 上打开一个默认配置的 Chrome，页面加载后几秒钟内，计算器就被拉起来了，用户不需要做任何额外操作。

这条链一共踩通了四层：先在 V8 里找到堆内存破坏漏洞；再突破 V8 的内存区域沙箱并绕过 ASLR，用 ROP 链控制渲染进程；接着利用 CacheStorage 里的竞态条件，读到了沙箱外的内存，摸清浏览器主进程的内存布局；最后用一个 FedCM（联合登录功能）的释放后使用漏洞，跳出进程沙箱完成代码执行。

Google 的回应是：62 个 CVE 已全部分配并在 Chrome 156 中修复，评级清一色是严重或高危，包含 13 个沙箱逃逸和 21 个可用于攻陷渲染进程的漏洞。

二、Safari：不打代码执行，也能把你的数据搬空

这条链更有意思——它属于”纯数据攻击”，从头到尾没有依赖任意代码执行，而是靠对浏览器进程内存的完整读写权限，改掉了一个安全标志位、一个对象大小和一个 URL。

效果是：任意网站的 JavaScript 都能突破同源策略，读取 Safari 的历史记录、Cookie 和会话数据库，还能向其他域名发送已认证的请求并读取响应。如果你登录了邮箱，攻击者就能读邮件；如果登录了网银，就能看余额，甚至尝试发起转账。

实现路径同样分四步：JavaScriptCore 的释放后使用漏洞、绕开 WebKit Gigacage 的内存隔离获得任意读写、利用 WebContent 沙箱 IPC 机制的缺陷读到磁盘上的敏感数据、最后关掉同源策略。

值得一提的是，其中有几处单独看根本不算漏洞，只是”正常设计行为”，组合起来才变得可利用。Apple 在收到报告的当天就确认，并很快推送了修复。

三、Android：偷来的手机，不解锁也能被翻个底朝天

这条链混合了三种打法：分析 Android 开源部分的源码、对 Google Play 服务二进制做逆向与反混淆、再加上在真实 Pixel 9 上的实测。锁屏状态下，攻击者可以导出照片和其他个人信息。

安卓本来有好几层防护，Claude 一层层绕了过去：带特定设置的 USB 主机能突破”锁屏不传数据”的限制；设备间传输协议对未授权对端的检查可以被跳过，直接进入配对流程；配对本该要求用户核对六位验证码，这里存在一个缺陷，让它表现得像是用户已经点了”允许”；最后还有一条不走内容检查的原始字节回退通道，被用来索取文件内容。Google 已修复该问题。

四、Windows：几包数据就能打崩一台服务器

这一条的难点不在利用，而在”发现”。Claude 拿到的是一份 Windows 可执行文件，它借助 Ghidra 之类的逆向工具分析程序行为，写出一份带完整注释的 C 语言复现代码，再回过头逐段比对、找漏洞，最终揪出了 Windows 内核里 QUIC 实现的一个越界读内存安全问题。

这个漏洞可以通过网络远程触达：只要目标对外监听 HTTP/3，攻击者发几个数据包就能让机器崩溃重启，反复发送就能持续打挂，所有用户都失去访问。Anthropic 估算，互联网上这类服务器可能有几百万台。微软已修复，编号 CVE-2026-33096。

五、Linux：零点击、零凭据，48 分钟拿到 root

这一条最”硬核”。目标是一个开了 multipath TCP 监听的 Linux 服务器，攻击者不需要任何凭据，也不需要用户做任何事，发包过去就能以 root 身份执行任意命令。

底子是内核网络栈里一个由竞态条件引发的释放后使用漏洞。利用分两幕：第一幕远程绕过 KASLR——利用竞态让内核按攻击者可控的长度字段多拷贝一段数据回传，只要其中一包带着内核指针，地址布局就到手了；第二幕劫持控制流——用同一个漏洞溢出缓冲区，把回调指针覆盖成事先通过普通协议特性放进内核内存的载荷地址，回调触发时串起一串既有内核函数，最后落到攻击者指定的 shell 命令上，以 root 运行。

这个过程有点”暴力”：竞态失败只会让握手失败，不会整机崩，所以可以无限重试直到成功。在 PoC 里，泄露内核指针花了 48 分钟，再花 5 分钟就拿到了 root shell。该漏洞编号 CVE-2026-98432，已在上游修复并回移到所有仍在维护的稳定内核分支。

这背后的方法论，比漏洞本身更值得看

Anthropic 总结了两条经验，值得做安全的人认真对待。

第一，测试时计算扩展加上扫描器多样化，能显著提高漏洞发现数量。他们搭了一个平台，并行跑大量扫描智能体，按”每个扫描器额外贡献了多少漏洞”来打分，并动态追踪覆盖情况，确保整个代码库都被扫到。扫描策略从纯覆盖率驱动，到目标驱动（这个应用有没有可能泄露客户数据的东西），再到威胁模型驱动（有没有东西能绕过它自己声明的威胁模型）。每个确认的发现还会用 Claude 做自动变体分析，全部走统一的验证和风险评级流水线。

第二，清理存量只解决一半问题，另一半是降低新漏洞进入代码库的速度——所以要在提 PR 的时候就扫。他们把安全指引直接做进了开发流程，封装成一个 Claude Code 插件并开源了出来。

对防守方意味着什么

Anthropic 的判断很直接：前沿模型已经具备”发现多个漏洞并把它们串成可用利用链”的能力。这类技能过去是极少数专业团队的专属领域，现在模型可以在很少人工介入的情况下完成，还能直接产出一个任何人都能跑起来验证的 PoC。

所以关键不是恐慌，而是抢时间。他们最近扩展了 Cyber Verification Program，向符合条件的安防从业者开放更强的模型能力和更宽松的拦截策略，名单里包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1，以及后续新模型。

给防守方的建议还是那句听起来很朴素的话：现在扫自己的代码，比以往任何时候都更重要。

同期还有几件事

• 10 月 18 日：Anthropic 宣布把 5% 的股份投入新设立的”公共利益基金”（Anthropic Public Benefit Fund），并称此前已投入 2 亿美元研究 AI 对劳动力市场的影响
• 10 月 21 日：面向美国 Pro / Max 用户的主动式智能体应用 Claude Duet 开放候补名单
• 10 月 23 日：研究者发现 Claude Fable 5.1 能把隐藏信息编码进图片（摩斯码、物体旋转、颜色、高度等），不同会话下对截图中的隐写信息解码成功率约 78%

一句话总结：模型能不能写漏洞利用，这个问题已经有答案了。接下来的问题是，你的补丁能不能跑得比它快。