Anthropic 称内部 Claude 研究模型为 Chrome、Android、Windows 和…

Anthropic 前沿红队报告称，一个未发布的内部 Claude 研究模型在初始提示后，为五个广泛使用的软件目标生成了完整的多步漏洞利用链。这些目标包括在 Chrome 沙箱之外实现一键代码执行，以及对 Linux 服务器的零点击远程 root 访问。Anthropic 已将所有问题报告给各自的厂商。该文章仅描述了此后已被修复的漏洞。

每条漏洞利用链都组合了若干独立的漏洞。Anthropic 表示，该模型识别出了各个单独缺陷，并将它们串联起来以构建漏洞利用。以下各节解释了每种攻击的运作方式。

Chrome：沙箱之外的代码执行

该概念验证（PoC）在网页加载后数秒内，于运行默认配置 Chrome 的 Mac 上打开计算器应用，且无需任何进一步的用户交互。该漏洞利用分为四个阶段，每个阶段都涉及模型识别出的一个独立漏洞：

V8 堆内存破坏：Chrome 的 JavaScript 引擎中存在一个缺陷，使恶意网页能够破坏 V8 的堆内存。

V8 沙箱逃逸与 ASLR 绕过：第二个缺陷使该漏洞利用能够逃逸 V8 的内存沙箱，并确定 Chrome 代码在内存中的位置。随后，一条返回导向编程（ROP）链使攻击者获得了对渲染进程的完全控制。

CacheStorage 竞态条件：渲染进程仍被限制在 Chrome 的进程沙箱内。然而，CacheStorage 中的一个竞态条件使其能够读取该沙箱之外的内存，并确定特权浏览器进程的内存布局。

FedCM 释放后重用：Chrome 的联合登录功能 FedCM 中存在一个释放后重用漏洞，使得能够在沙箱之外执行任意代码。

Google 为这些问题分配了 62 个通用漏洞与暴露（CVE）编号，并已在 Chrome 156 中完成修补。所有漏洞均被评为严重或高危。其中 13 个涉及沙箱逃逸，另有 21 个可用于攻陷渲染进程。

Safari：禁用同源策略的纯数据漏洞利用

该漏洞利用允许在任何网站上运行的 JavaScript 完全绕过同源策略。这使其能够访问用户的 Safari 浏览历史和 Cookie，向其他域发送经过身份验证的请求并读取响应。因此，攻击者可以访问已登录电子邮件服务或银行会话等账户中的信息。

该漏洞利用绕过了四层安全防护：

JavaScriptCore 释放后重用：某些 TypedArray 操作使用了指向已释放内存的陈旧指针，使该漏洞利用能够覆盖 TypedArray 元数据。

Gigacage 绕过：WebKit 的 Gigacage 将 TypedArray 数据隔离在单独的内存区域中。该模型识别出了该区域内可用于访问其他内存区域的变量，从而能够在区域之外执行任意读写操作。

WebContent 沙箱 IPC 缺陷：沙箱的进程间通信（IPC）机制中存在一个漏洞，使该漏洞利用能够访问 Safari 存储在磁盘上的浏览历史、Cookie 和会话数据库。

禁用同源策略：该释放后重用漏洞使漏洞利用能够覆盖内存中的一个变量并禁用同源策略。这使攻击者的网页能够读取来自任何其他源的数据。

这是一种纯数据攻击，不需要任意代码执行。相反，它利用对浏览器进程内存的读写访问来修改一个安全标志、一个对象大小和一个 URL。Anthropic 指出，其中一些弱点涉及原本设计好的行为，但在组合后便变得可被利用。

Apple 在 Anthropic 提交报告的当天确认收到该报告，并此后发布了修复程序。

Android：从锁定手机中提取数据

该漏洞利用可从被盗的 Android 手机中提取照片和个人信息，且无需解锁设备。该模型使用了三种输入：对 Android 开源代码的分析、对 Google Play 服务二进制文件的逆向工程与反混淆，以及在 Pixel 9 设备上的实机测试。

这一过程揭示了开源和专有组件中的若干漏洞。该模型组合了其中三个缺陷来开发最终的漏洞利用。

该攻击绕过了四项安全防护：

锁定手机上的 USB 数据限制：具有特定设置的 USB 主机绕过了从锁定手机传输数据的限制。

设备到设备传输授权：该模型绕过了授权检查并启动了配对过程。

六位验证码验证：一个漏洞使该漏洞利用能够跳过用户确认，并像用户已点击“允许”一样继续操作。

通过 USB 传输文件的限制：一项硬编码检查阻止了对文件内容的访问。然而，一种传输原始字节的回退机制并未被该限制覆盖。该漏洞利用通过这一替代途径请求了文件内容。

Google 已解决该问题。

Windows：通过 HTTP/3 实现远程崩溃

该漏洞利用可导致任何通过微软原生 Windows 实现响应 HTTP/3 请求的 Windows 机器崩溃。该漏洞涉及 Windows 内核 QUIC 实现中的越界读取，可通过网络访问。

攻击者只需向运行该服务的服务器发送少量数据包，即可使机器崩溃并重启。重复攻击可让服务器持续对用户不可用。Anthropic 估计有数百万台此类服务器暴露在互联网上。

微软已在 CVE-2026-33096 下修复该漏洞。

发现该漏洞需要模型对 Windows 可执行文件进行逆向工程。Anthropic 要求它：

使用 Ghidra 等现有工具分析软件的工作方式。

编写一个带有完整注释的 C 程序，复现相关功能。

将复现程序的行为与原始二进制文件进行比较，以验证其准确性。

检查代码中的漏洞。

当 Anthropic 要求模型识别风险更高的漏洞时，它发现了这个可远程利用的缺陷。

Linux：通过多路径 TCP 实现零点击 root 访问

远程攻击者可向运行多路径 TCP 监听器的 Linux 服务器发送数据包，并以 root 权限执行任意命令。该攻击既不需要凭据，也不需要用户交互。

该漏洞涉及 Linux 内核网络栈中由竞争条件引发的释放后重用缺陷（CVE-2026-98432）。开发者已在上游修复该漏洞，并将修复向后移植到所有仍在维护的稳定内核分支。

该漏洞利用分两个阶段进行：

远程绕过 KASLR：该竞争条件使内核读取攻击者控制的长度字段，并将额外字节复制回攻击者。如果返回的数据包含内核指针，攻击者便可识别内核的内存布局。

劫持控制流：同一释放后重用漏洞使攻击者能够溢出缓冲区，并用先前通过标准协议功能放入内核内存的载荷地址覆盖回调指针。当内核调用该回调时，载荷利用现有内核函数以 root 权限执行攻击者选定的 shell 命令。

如果攻击者在竞争中失败，握手只会失败而不会导致系统崩溃。这使攻击者可以无限次重试该过程。

在概念验证中，获取内核指针耗时 48 分钟。达到命令执行阶段又需要五分钟。

Anthropic 还表示，该模型在 OpenBSD、FreeBSD 和 Linux 中发现了本地权限提升漏洞，并在广泛使用的沙箱基础设施中发现了若干沙箱逃逸漏洞，以及 Web 应用中的多个漏洞。

该文章还描述了 Linux 网络栈中其他已被修复并公开披露的零点击代码执行漏洞。不过，Anthropic 仅提供了多路径 TCP 漏洞的技术细节。

来源中的局限

以下是 Anthropic 文章中提供的信息存在的缺口，而非对其发现有效性的质疑。

模型身份：Anthropic 使用了一个未发布的内部研究模型，但未说明其身份，也未解释它与验证计划中所包含模型的关系。

独立验证：所有发现均来自 Anthropic 自己的陈述。文章链接了 Chrome 和 Apple 修复的厂商公告，以及两个 CVE 的国家漏洞数据库（NVD）条目。然而，文章并未包含对结果的独立评估。

成本与成功率：Anthropic 未披露尝试次数、使用的计算资源、误报情况，或模型未能发现漏洞的目标。

提示与人工参与：文章将这些漏洞利用链描述为“在初始提示后”获得的结果，但未说明提示内容，也未说明模型此后获得了多少人工指导。

漏洞标识符：Anthropic 未提供 Safari 和 Android 漏洞的 CVE 标识符，也未说明任一漏洞利用链涉及多少个单独漏洞。

另请阅读：

Anthropic 在政策更新中阻止针对 Claude 的滥用行为，取消对竞选定向的禁令

Anthropic 面向企业推出 Claude Security，但未达到 Mythos 级别的能力

[googlesitekit-end-of-content]

WP QUADS Content Ad Plugin v. 3.0.5.1

为你推荐

阅读 Nikhil Pahwa 的 Reasoned：AI 如何改变我们的世界

赞助 MediaNama 活动