macOS 默认配置下的 Chrome 浏览器，页面加载数秒内弹出计算器——这是 Anthropic 在其官方研究博客中展示的 Chrome 一键远程代码执行（RCE）概念验证（PoC）的最终效果。执行这条攻击链的是 Anthropic 一个未发布的内部研究模型。在人类给出初始提示（initial prompting）之后，该模型独立发现了 4 个漏洞、编写了完整的多步利用链，并在真实浏览器上完成了验证。

Anthropic 在其研究文章中写道，过去数月间，他们使用这一内部研究模型在 Chrome、Safari、Android、Windows、Linux 5 大平台上分别构建了完整的攻击链，导致远程代码执行及其他关键影响，且几乎不需要用户交互。所有漏洞均已通过 Anthropic 的协调漏洞披露政策报告给相关厂商——该政策给予开发者 90 天修补时间，之后再有 45 天才会讨论超出公开公告的细节。

以下逐条拆解 5 条攻击链的技术路径，再分析其方法论与攻防不对称性的含义。

1. Chrome 一键 RCE：4 层防线逐一击穿，62 个 CVE

Chrome 的安全架构是业界公认最成熟的浏览器安全模型之一：V8 引擎有独立的内存沙箱，渲染进程运行在进程沙箱内，ASLR 随机化内存布局。要从一个恶意网页走到”在沙箱外执行任意代码”，攻击者需要依次突破每一层防线。

Anthropic 的内部研究模型在人类给出初始提示后，完成了以下 4 步：

第 1 步：V8 堆破坏。 模型在 Chrome 的 JavaScript 引擎 V8 中发现了一个漏洞，允许恶意网页破坏 V8 的堆内存。这是整条链的入口点。

第 2 步：绕过 V8 内存沙箱与 ASLR，ROP 控制渲染进程。 模型发现了第 2 个漏洞，突破 V8 的内存区域沙箱并击败 ASLR。这一步定位了 Chrome 代码在内存中的位置，并使用返回导向编程（ROP）链完全控制了渲染进程。

第 3 步：CacheStorage 竞态条件读取沙箱外内存。 被攻陷的渲染进程仍然被 Chrome 的进程沙箱限制。模型随后发现了 CacheStorage 中的一个竞态条件，利用它读取沙箱外的内存，获取特权浏览器进程的内存布局。

第 4 步：FedCM use-after-free 实现沙箱外代码执行。 模型在 FedCM（Chrome 的联合登录功能）中发现了一个 use-after-free 漏洞，利用它在沙箱外执行任意代码。

最终效果：在 macOS 默认配置的 Chrome 浏览器上，用户加载页面数秒内，计算器应用被启动，无需任何进一步的用户交互。

据 Anthropic 披露，其发现已报告给 Google：截至 Chrome 156，共分配并修补了 62 个 CVE，全部被评为 critical 或 high 级别。其中包括 13 个沙箱逃逸漏洞和 21 个可被用于攻陷渲染进程的漏洞。

62 个 CVE 这一数字本身极具冲击力。Anthropic 在研究文章中称，编写完整浏览器利用链的技能”历来只属于少数专业团队”（These skills have historically been the domain of few specialist teams）。一个 AI 模型在数月内产出这一规模的 critical/high 级别 CVE，其中 13 个是沙箱逃逸——这一产出密度在此前的公开记录中极为罕见。

2. Safari：不需要代码执行的纯数据攻击

如果说 Chrome 攻击链是一条”重型”路径——堆破坏、ROP 链、竞态条件、use-after-free 层层叠加，那么 Safari 攻击链展示了一种完全不同的攻击范式。

Anthropic 的模型在人类给出初始提示后，编写了一条利用链，使任意网站的 JavaScript 完全绕过同源策略（SOP）。利用成功后，攻击者可以访问用户的 Safari 历史记录、cookie 和其他敏感数据，可以向其他域名发送经过身份验证的 HTTP 请求并读取响应。Anthropic 在文章中举例：如果用户已登录其电子邮件账户，攻击者可以读取其邮件；如果登录了银行账户，攻击者可以查看账户余额或尝试转账。

技术路径同样分为 4 步：

第 1 步：JavaScriptCore use-after-free。 模型在 Safari 的 JavaScript 引擎 JavaScriptCore（C++ 编写）中发现了一个 UAF 漏洞。特定的 TypedArray 操作通过过期指针写入已释放的内存，覆盖了 TypedArray 元数据。

第 2 步：绕过 Gigacage。 WebKit 的 Gigacage 机制通过将 TypedArray 数据隔离在独立内存区域来缓解此类攻击。模型发现该区域中的某些变量被用于索引其他区域，从而获得了 Gigacage 之外的任意读写原语。

第 3 步：WebContent 沙箱 IPC 漏洞。 所有网站 JavaScript 都运行在 WebContent 沙箱中，以防止 UAF 之类的漏洞触及磁盘上的敏感浏览器数据。模型发现了沙箱 IPC 机制中的一个漏洞，使利用程序能够从磁盘读取 Safari 存储的历史记录、cookie 和会话数据库。

第 4 步：关闭同源策略。 模型利用 UAF 覆盖内存中的一个变量，禁用了 SOP，使攻击者页面能够读取任何其他源的数据。

Anthropic 在文章中特别强调了这条链的技术特征：它是一条纯数据攻击（data-only attack），从未依赖任意代码执行。它通过对浏览器进程内存的完全读写访问来修改一个安全标志、一个对象大小和一个 URL。链中的几个弱点单独来看并非漏洞，而是预期行为——只有组合在一起时才变得可利用。

据 Anthropic 研究文章称，Apple 在收到报告的当天即确认了该问题，并已迅速完成修复，修复已向用户提供。另据 Apple 安全说明，iOS 26.5.2 和 iPadOS 26.5.2 中修复了一个 WebKit use-after-free 漏洞（CVE-2026-43715），致谢名单中包括 Anthropic 的 Milad Nasr 和 Nicholas Carlini with Claude——但目前无法确认该 CVE 是否就是上述 Safari 攻击链所利用的漏洞。

这条链对防守方的含义尤为严峻：传统的代码执行检测机制（如 W^X 策略、代码签名验证）对纯数据攻击完全失效。模型展示了在不同攻击范式之间灵活切换的能力——Anthropic 将这种能力描述为此前只属于少数专业团队的技能。

3. 从屏幕到内核：Android、Windows、Linux 3 条链覆盖全栈

Chrome 和 Safari 的攻击链针对的是浏览器——用户态软件中最复杂、最安全的品类之一。剩余 3 条链则将攻击面扩展到了移动端物理安全、Windows 内核和 Linux 内核，展示了模型能力的广度。

Android 锁屏绕过：Pixel 9 实机验证

据 Anthropic 研究文章，模型通过源码分析、Google Play services 逆向工程和实机测试，串联了 3 个漏洞，在 Pixel 9 设备上经 USB 取出了照片等数据——绕过了锁屏保护。Google 已处理该问题。

这条链的特殊之处在于它涉及物理接触设备、USB 协议交互，以及对 Google Play services（闭源组件）的逆向工程。模型需要同时处理开源 Android 代码和闭源二进制，并在真实硬件上完成端到端验证。

Windows 远程拒绝服务：CVE-2026-33096

模型通过二进制分析和 Ghidra 逆向工程发现了这一漏洞。Anthropic 在研究文章中将其描述为 Windows 内核 QUIC（HTTP/3）实现中的越界读漏洞；SentinelOne 漏洞数据库则将其记录为 Windows HTTP 协议栈（HTTP.sys）中的越界读漏洞，CVE-2026-33096 于 2026 年 4 月 14 日发布至 NVD。

据 SentinelOne 的技术分析，该漏洞影响 Windows 11（23H2、24H2、25H2、26H1）以及 Windows Server 2022、2022 23H2 和 2025。攻击向量完全基于网络，无需身份验证或用户交互。因为 HTTP.sys 运行在内核上下文中，无效读取可以触发蓝屏（bug check）并停止系统，或终止 HTTP 请求处理路径使服务无响应。受影响的端点包括 IIS 网站、WinRM 监听器（TCP/5985 和 TCP/5986）以及任何注册了内核 HTTP 监听器的自定义服务。

Anthropic 在其研究文章中估计，互联网上可能有数百万台此类受影响的服务器。微软已修复该漏洞。

这条链的发现过程值得注意：据 Anthropic 披露，它完全基于二进制分析，没有源码可参考，模型使用 Ghidra 进行逆向工程。

Linux 零点击 root RCE：CVE-2026-98432

这是 5 条链中攻击效果最极端的一条。据 Anthropic 研究文章，模型在 Linux 内核的 multipath TCP 网络栈中发现了一个竞态条件导致的 use-after-free 漏洞（CVE-2026-98432）。攻击场景为零点击：只要目标机器的 multipath TCP 监听处于活动状态，攻击者无需任何用户交互即可触发。

据 Anthropic 披露，PoC 的执行效率为：48 分钟泄露内核指针，再 5 分钟获得 root 命令执行。总计不到 1 小时，从网络可达到 root shell。Anthropic 称该漏洞已在上游修复，并回移（backport）到所有维护中的稳定分支。

Red Hat 对该漏洞有独立的描述和评级。据 Red Hat 安全公告，CVE-2026-98432 是 Linux 内核 IPv4 TCP 实现中由竞态条件引起的 use-after-free 漏洞：tcp_v4_syn_recv_sock() 在将请求套接字选项转移到子套接字时未进行复制，而请求套接字的处理不持有监听器锁，另一个 CPU 处理同一请求套接字的重传 SYN 时仍可能在读取这些选项，导致选项被释放后仍被访问。Red Hat 将该漏洞评级为 Moderate（中危），CVSS:3.1 评分为 5.9，反映了赢得竞态条件的高攻击复杂度，且未证明存在机密性或完整性影响。

5 条链合在一起，覆盖了当今计算平台的几乎全部主要攻击面：浏览器（Chrome、Safari）、移动端（Android）、桌面/服务器端（Windows、Linux）。每条链都针对不同的代码库、不同的安全架构、不同的攻击范式——堆破坏、纯数据攻击、物理接触利用、二进制逆向、内核竞态条件。

4. 方法论：工业化漏洞扫描体系

Anthropic 在文章中披露了支撑这些成果的方法论框架，这可能比任何单条攻击链都更具长期意义。

其核心方法包括：大量并行扫描 agent（而非单个模型实例的单次运行）、按增量贡献衡量扫描器效能（即每个 agent 相对于已有发现的边际贡献）、动态跟踪代码覆盖率、自动变体分析（从一个已发现的漏洞自动搜索同类变体）、以及统一的验证与风险评级流程。

这套方法论的含义是：漏洞发现正在从依赖个别研究者的经验走向可规模化的流水线模式。并行 agent 意味着可以同时扫描大量代码路径；增量贡献度量意味着可以系统性地优化扫描策略；自动变体分析意味着一个漏洞的发现会自动触发对同类模式的全面搜索。

关键边界必须明确： Anthropic 在每条攻击链的描述中都标注了”After initial prompting”——人类安全研究员给出了初始提示。这意味着模型的角色是在人类定义的攻击方向上独立完成从漏洞发现到利用编写的全流程，而非从零开始自主选择攻击目标。此外，使用的是”未发布的内部研究模型”，具体型号未披露。笔者判断，这一边界设定既反映了当前模型能力的真实水平——它需要人类的方向性指引，但不需要人类的逐步技术指导——也为 Anthropic 在安全责任上留出了空间。

5. Cyber Verification Program：在进攻能力爆发前为防守方争取时间

Anthropic 的应对策略分为两个层面。

第 1 层面：将 AI 扫描嵌入开发流程。 Anthropic 建议在 Pull Request（PR）阶段即进行 AI 安全扫描，并公开了 Claude Code 安全插件。逻辑是：如果 AI 模型已经能在发布后的软件中找到大量高危漏洞，那么在代码合入主分支之前就运行同等能力的扫描器，可以在漏洞进入生产环境之前将其拦截。

第 2 层面：扩大 Cyber Verification Program（CVP）。 Anthropic 在其官方博客中宣布，CVP 已扩展为 3 个访问层级，向合格安全专业人员开放高级网络能力和降低阻断分类器。每个层级都包括对最强模型的访问，包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 及未来新模型。

Anthropic 在 CVP 博客中解释了分层设计的背景：过去 6 个月，Anthropic 通过 Project Glasswing 和 CVP 两个项目提供受信任访问，前者让一批保护最关键软件的组织使用 Claude Mythos。现在，这两个项目被整合为统一的 3 层体系。

Anthropic 在博客中明确指出：网络安全本质上是双重用途的——同样的能力既能帮助安全团队发现和修复漏洞，也能帮助恶意行为者利用它。因此，其一般可用模型（如 Claude Opus 5.5、Claude Fable 5.1、Claude Sonnet 5.5）具有保守的网络安全保护措施，会阻断大多数网络安全操作。

Defense Access 面向防御性工作，包括安全运营中心和事件响应任务、恶意软件逆向工程、漏洞分析和验证。符合条件的组织包括企业安全团队、非营利组织、大学、政府机构的安全团队，以及任何规模的关键基础设施运营商（如地区医院或市政公用事业）、小型安全公司、开源维护者和有漏洞报告记录的个人研究者。Anthropic 表示预计数天内回复申请。

Red Team Access 在防御性用途基础上增加了授权渗透测试和红队测试。符合条件的组织包括内部红队、政府红队和安全/渗透测试公司。用户仍会在可能造成物理伤害或大规模中断的操作上遇到实时阻断，如部署勒索软件、损坏物理系统或对高风险安全系统进行渗透测试。该层级目前仅面向组织，个人研究者不符合条件。预计审核需要数周。

Specialized Access 拥有最少的网络安全阻断，保留给经过验证的有限组织，这些组织被授权测试可能影响人们生命或扰乱市场的安全系统，如飞行操作系统、电网、电信网络、银行间转账基础设施和政府行政网络。该层级目前由 Anthropic 与美国政府合作进行深度审查。此前 Project Glasswing 的成员将过渡到该层级。

数据保留是所有层级的强制要求，以便 Anthropic 监控网络安全滥用。

6. 攻防不对称性的质变

将 5 条攻击链放在一起看，最核心的含义并非任何单个漏洞的技术细节，而是攻防经济学的结构性变化。

Anthropic 在研究文章中称，编写完整浏览器利用链的技能”历来只属于少数专业团队”。这种稀缺性本身就是一种安全屏障：攻击成本高昂，因此只有资源最充裕的攻击者才能负担。

Anthropic 的研究表明，这一技能壁垒正在被模型化。当一个 AI 模型能在人类给出初始提示后独立完成从 V8 堆破坏到沙箱外代码执行的完整链路时，攻击成本的上限不再由专家人力决定，而开始趋近于 API 调用成本。与此同时，防守成本——代码审计、补丁开发、回归测试、部署——仍然是人力密集型的。

笔者判断，这种不对称性的加剧将在未来 12-18 个月内对软件安全行业产生深远影响。具体而言：

协调披露窗口的压力将急剧增大。 Anthropic 的 90 天修补 + 45 天细节公开政策假设厂商有足够时间修复。但如果 AI 模型能以工业化速度发现漏洞，而厂商的修补速度仍受限于人力，那么未修补漏洞的积压将不可避免地增长。据 Anthropic 披露，Chrome 的 62 个 CVE 截至 Chrome 156 已全部修复，这得益于 Google 强大的安全工程能力——但并非所有厂商都有 Google 的资源。

防守方必须将 AI 扫描前置到开发流程。 Anthropic 建议在 PR 阶段扫描，这一建议的紧迫性远超其表面看起来的程度。如果攻击者（或攻击者使用的 AI 模型）能在软件发布后短时间内找到可利用的漏洞，那么”发布后修补”的传统模式将越来越难以为继。笔者判断，唯一可行的策略是在代码进入主分支之前就拦截漏洞——而这恰好是 AI 扫描最擅长的场景。

安全工具市场将面临重新洗牌。 当前的静态分析工具（SAST）和动态分析工具（DAST）在发现复杂的多步利用链方面能力有限。Anthropic 展示的能力——自动发现漏洞、自动构建多步利用链、自动验证——代表了一个新的能力层级。笔者判断，能够将类似能力集成到 CI/CD 流水线中的安全产品将在未来获得显著的市场优势。

当前状态与待观察的问题

截至 Anthropic 研究文章发布时，所有 5 条攻击链涉及的漏洞均已被相关厂商修复：据 Anthropic 披露，Google 修复了 Chrome 的 62 个 CVE（截至 Chrome 156）并处理了 Android 锁屏绕过问题；Apple 确认并修复了 Safari 漏洞；微软修复了 CVE-2026-33096；Linux 内核的 CVE-2026-98432 已在上游修复并回移到维护中的稳定分支。

但几个关键问题仍然开放：

模型能力的上限在哪里？ Anthropic 使用的是”未发布的内部研究模型”，具体型号未披露。当前展示的能力是否接近该模型的上限，还是仍有大量未开发的潜力？如果后续模型在安全研究任务上的能力进一步提升，攻防不对称性将进一步加剧。

“After initial prompting”的边界会如何演变？ 当前每条链都需要人类给出初始提示。随着模型能力的提升，这一人类参与的门槛是否会持续降低？若模型最终能自主选择攻击目标并独立完成全流程，安全生态的假设将需要根本性重构。

其他 AI 实验室是否具备类似能力？ Anthropic 选择公开披露这些成果，但截至本文发布时暂无公开数据表明其他主要 AI 实验室是否已达到类似的漏洞研究能力水平。若这一能力并非 Anthropic 独有，那么攻击侧的能力扩散将比单一实验室的场景更加复杂。

对防守方而言，当前最紧迫的行动是：将 AI 安全扫描嵌入开发流程的 PR 阶段，评估自身代码库中是否存在与 Anthropic 发现的漏洞类似的模式（特别是 use-after-free、竞态条件、IPC 边界漏洞），并关注 Anthropic CVP 的申请通道以获取高级扫描能力。

窗口正在收窄。当攻击成本趋近于 API 调用成本而防守成本不变时，唯一的均衡策略是让防守方也用上同等能力的 AI 工具——而且要在代码发布之前。

主题分类：技术突破

参考资料

  1. Discovering and exploiting vulnerabilities in critical, real-world software — Anthropic, 2026-10-27
  2. Expanding the Cyber Verification Program — Anthropic, 2026-10-06
  3. CVE-2026-33096 Overview — SentinelOne, 2026-04-14
  4. About the security content of iOS 26.5.2 and iPadOS 26.5.2 — Apple, 2026-06-29

  5. CVE-2026-98432 — Red Hat

  6. HTTP.sys Denial of Service Vulnerability — 2026-04-14
  7. CVE-2026-98432 — 2026-10-15