过去几个月里，我们使用一个尚未发布的内部研究模型，在世界上一些使用最广泛的软件（例如浏览器和操作系统）中 发现了关键漏洞 。在本文中，我们分享五条攻击链的细节，这些攻击链在几乎无需用户交互的情况下实现了远程代码执行及其他严重影响。这些攻击链表明，该模型能够在开源和专有软件中构建复杂的多步骤漏洞利用。这些产品中的任何漏洞都可能影响数十亿用户。它们也是世界上安全关键性最高的软件之一，因此是检验模型漏洞研究和网络能力的风向标。
我们按照 协调漏洞披露流程向受影响的厂商报告了每个漏洞，该流程给开发者90天时间进行修补，并在我们讨论公开公告已包含内容之外的细节前再给予45天。
1. Chrome 中的一键远程代码执行
在初步提示后，Claude 编写了一条完整的漏洞利用链，使攻击者能够以用户身份在浏览器沙箱之外执行任意代码。我们的概念验证在页面加载后数秒内，从 macOS 上默认配置的 Chrome 浏览器启动计算器应用，无需任何进一步用户交互：
- Claude 发现了 Chrome 的 JavaScript 引擎 V8 中的一个漏洞，该漏洞允许恶意网页破坏 V8 的堆内存。
- Claude 发现了第二个漏洞，用于突破 V8 的内存区域沙箱并绕过 ASLR。这一步在内存中定位了 Chrome 的代码，并使用返回导向编程（ROP）链完全控制了渲染进程。
- 被攻陷的渲染进程受到 Chrome 进程沙箱的限制。随后 Claude 发现了 CacheStorage 中的一个竞态条件。被攻陷的渲染进程利用该竞态条件读取沙箱外的内存，并获知特权浏览器进程的内存布局。
- 最后，Claude 发现了 Chrome 联合登录功能 FedCM 中的一个释放后使用漏洞，使该漏洞利用能够在沙箱之外执行任意代码。
我们已将发现报告给 Google：共分配了62个 CVE，并 已在 Chrome 156 中修补, 所有漏洞均被评为严重或高危。其中包括13个沙箱逃逸和21个可能被用于攻陷渲染进程的漏洞。
2. Safari 中的一键漏洞利用链
在初步提示后，Claude 编写了一条漏洞利用链，使任何网站的 JavaScript 都能完全绕过同源策略（SOP）。该漏洞利用可以访问用户的 Safari 历史记录、Cookie 和其他敏感数据，并能向其他域发送经过身份验证的 HTTP 请求并读取响应。例如，如果用户已登录其电子邮件账户，攻击者现在可以读取其电子邮件；如果用户已登录其银行账户，攻击者可以查看账户余额或尝试转账。
为此，Claude 攻破了 Safari 内置的多层保护：
- Claude 发现了 JavaScriptCore（Safari 用 C++ 编写的 JavaScript 引擎）中的一个释放后使用（UAF）漏洞。某些 TypedArray 操作通过过期指针写入已释放内存，覆盖了 TypedArray 元数据。
- WebKit 的 Gigacage 通过将 TypedArray 数据隔离到单独的内存区域来缓解此类攻击。Claude 发现该区域中的某些变量被用于索引其他区域，从而获得了 Gigacage 之外的任意读写原语。
- 所有网站 JavaScript 都在 WebContent 沙箱中运行，这可以防止 UAF 之类的漏洞触及磁盘上的敏感浏览器数据。Claude 发现了沙箱 IPC 机制中的一个漏洞，使该漏洞利用能够从磁盘读取 Safari 存储的历史记录、Cookie 和会话数据库。
- 最后，Claude 利用该 UAF 覆盖内存中的一个变量并禁用 SOP，使攻击者的页面能够读取来自任何其他源的数据。
这条链之所以有趣，是因为它是一种纯数据攻击，从不依赖任意代码执行。相反，它利用对浏览器进程内存的完整读写访问来修改一个安全标志、一个对象大小和一个 URL。其中若干弱点本身并非漏洞，而是预期行为，但在组合起来后就变得可被利用。
Apple 在我们提交报告的当天就确认了我们的报告，并迅速实施了修复。 该修复 已向用户提供。
3. Android 锁屏绕过
在初步提示后，Claude 编写了一个漏洞利用，使攻击者无需解锁即可从被盗的 Android 手机中提取照片和其他个人信息。这项工作结合了三种方法：对 Android 开源部分进行源代码分析、对 Google Play 服务二进制文件进行逆向工程和反混淆，以及在实体 Google Pixel 9 上进行实时测试。这在开源和专有组件中都发现了大量漏洞。随后 Claude 将其中三个漏洞串联成最终的漏洞利用。
Android 针对此类攻击有多层保护。Claude 找到了绕过每一层的方法：
- 锁定的 Android 手机被设计为不通过 USB 传输数据。Claude 发现，具有特定设置的 USB 主机可以绕过这一点。
- 设备到设备传输协议会拒绝来自未授权对等方的数据命令。Claude 找到了一种跳过授权检查并启动配对过程的方法。
- 配对受经过身份验证的密钥协商保护，该协商要求用户验证六位代码。Claude 发现了一个缺陷，可以跳过此验证，并表现得好像用户已点击“允许”。
- USB 传输本不应携带文件内容，这由硬编码检查强制执行。Claude 发现了一种回退机制，可通过 USB 发送原始字节，且不受该检查覆盖。该漏洞利用通过它请求文件内容。
此问题已由 Google 解决。
4. Windows 远程拒绝服务
在初步提示后，Claude 编写了一个漏洞利用程序，使攻击者能够远程使任何使用 Windows 原生实现响应 HTTP/3 请求的 Windows 机器崩溃。此案例的难点首先在于识别出该漏洞。在完成初步提示后，我们直接向 Microsoft 报告了该漏洞，Microsoft 修复了该漏洞并为其分配了编号 CVE-2026-33096.
Claude 识别出的漏洞是 Windows 内核 QUIC 实现中的一个内存安全越界读取问题。攻击者可以通过网络远程到达存在漏洞的代码路径，向监听服务器发送几个数据包即可使机器崩溃并重启。通过反复发送这些请求，可以持续使服务器崩溃，从而导致所有用户失去对服务器的访问。我们估计互联网上可能有数百万台此类服务器在监听。
Claude 通过二进制分析发现了该漏洞。我们向模型提供了一份 Windows 可执行文件的副本，并要求 Claude 使用现有的逆向工程工具（如 Ghidra）逆向分析该软件的工作原理，编写一个带有完整注释、能够复现相关功能的 C 程序，将复现程序的行为与二进制文件进行比较以确保正确性，然后研究代码中的漏洞。当我们要求 Claude 识别潜在更高风险的问题时，它发现了这个可远程利用的漏洞。
5. Linux 中的零点击远程代码执行
虽然本文重点讨论第三方产品，但我们在开源方面的工作仍在继续。借助 Claude，我们在 OpenBSD、FreeBSD 和 Linux 上发现了本地权限提升漏洞；在流行的沙箱基础设施中发现了若干沙箱逃逸；并在重要的 Web 应用程序中发现了大量漏洞。我们还在 Linux 内核的网络栈中发现了可远程触发（零点击）的任意代码执行漏洞，这些漏洞此后已在上游修补并公开披露。下面我们详细说明其中一个例子。
在初步提示后，Claude 编写了一个漏洞利用程序，使远程攻击者能够向运行多路径 TCP 监听器的 Linux 服务器发送数据包，从而以 root 身份运行任意命令，无需任何凭据或用户交互。底层漏洞是内核网络栈中由竞态条件引发的 UAF 缺陷。完整的利用过程有两个关键阶段：
- 在第一阶段，攻击者远程破解 KASLR。它利用该竞态使内核读取攻击者控制的长度字段，从而复制额外字节并将其发送回攻击者；只要有一次这样的越界读取在回复中包含内核指针，攻击者就能获知内核地址空间布局。
- 在第二阶段，攻击者劫持控制流。它利用同一个 UAF 缺陷溢出缓冲区，并用攻击者已通过普通协议特性暂存到内核内存中的载荷地址覆盖回调指针。当内核调用该回调时，载荷会串联一系列对现有内核函数的调用，最终以 root 身份执行攻击者选定的 shell 命令。
该竞态条件的一个有利特性是，竞态失败只会导致握手失败，而不会使整个系统崩溃，因此有决心的攻击者可以无限重试直到成功。在我们的概念验证中，泄露一个内核指针需要 48 分钟，再花五分钟即可达到 shell 命令执行。该漏洞（CVE-2026-98432）已在上游修补，并向后移植到所有仍在维护的稳定内核分支。
我们的经验
在我们使用 Claude 开展这项安全工作的整个过程中，我们总结出若干塑造了我们方法的洞见。我们认为其中两点尤为重要。
测试时计算扩展和扫描器多样性会大幅增加你发现的漏洞数量。 我们构建了一个平台，可并行运行大量扫描代理，根据每个扫描器为整体贡献了多少额外漏洞来衡量其表现，并动态跟踪覆盖率，使扫描器能够处理整个代码库。
这些策略从纯覆盖率导向（这个函数中是否存在漏洞？）到基于目标（这个应用是否暴露了任何可能危及客户数据的内容？）再到基于威胁模型（这个应用中是否有任何内容绕过了其文档化的威胁模型？）。我们还使用 Claude 对每个已确认的发现运行自动化变体分析。所有发现都会经过标准化的验证和风险评级流程，因此我们可以自由试验新的扫描器，而不会降低质量标准。
修复现有积压问题只能解决一半问题；另一半是降低新漏洞进入代码库的速度。 为此，我们建议在 PR 时进行扫描。我们通过一个 Claude Code 插件将安全指导直接构建到我们的开发流程中，我们已 公开发布.
这对防御者意味着什么
前沿模型有能力发现多个漏洞并将其组合成可用的漏洞利用。这些技能历来只属于少数在这些目标方面具有专业知识的专家团队。如今，模型可以在极少人工参与的情况下做到这一点，并通过生成任何人都能运行和验证的可用漏洞利用来证明。
为防御者提供强大的模型至关重要，这能让他们在攻击者之前抢先修补系统。最近，我们发布了扩展版的 Cyber Verification Program，向符合条件的安全专业人员提供高级网络能力和降低的拦截分类器。它包括对我们最强大模型的访问权限，包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 以及未来其他新模型。我们对防御者的建议保持不变：扫描你自己的代码比以往任何时候都更重要。
作者与致谢
贡献者
Nicholas Carlini、David Dworken、葛昕阳、Ben Morris、Milad Nasr、Chris Rohlf、Luna Tong