Anthropic 在 Chrome、Safari、Android、Windows 和 Linux 上发现并利用了 Claude 的真实漏洞。

在过去的几个月里，我们使用了一个未发布的内部研究模型来 发现一些全球最广泛使用的软件中的关键漏洞，例如浏览器和操作系统。在这篇帖子中，我们分享了五个攻击链的详细信息，这些攻击链导致了远程代码执行和其他关键影响，几乎不需要用户交互。这些攻击链展示了该模型在开源和专有软件中创建复杂、多步骤漏洞利用的能力。这些产品中的任何漏洞都可能影响数十亿用户。它们也是世界上最具安全关键性的软件之一，使其成为测试模型漏洞研究和网络能力的风向标。

我们根据我们的 协调漏洞披露 向受影响的供应商报告了每个漏洞，这给了开发人员90天的时间来修复，并且在我们的讨论超出公共公告中已经包含的细节之前还有45天。

1. Chrome中的一键远程代码执行

在初始提示后，Claude编写了一个完整的漏洞利用链，使攻击者能够在浏览器的沙盒之外以用户身份执行任意代码。我们的概念验证在页面加载后的几秒钟内从macOS上具有默认配置的Chrome浏览器启动计算器应用程序，没有任何进一步的用户交互：

• Claude发现Chrome的JavaScript引擎V8中的一个漏洞，该漏洞允许恶意网页损坏V8的堆内存。
• Claude发现了一个第二个漏洞，用于突破V8的内存区域沙盒并击败ASLR。这一步定位了Chrome的代码在内存中，并使用返回导向编程（ROP）链来完全控制渲染器进程。
• 被攻陷的渲染器被Chrome的进程沙盒所限制。Claude随后发现CacheStorage中的一个竞态条件。被攻陷的渲染器利用竞态条件读取沙盒外的内存，并学习特权浏览器进程的内存布局。
• 最后，Claude发现FedCM（Chrome的联邦登录功能）中的一个使用后释放漏洞，该漏洞允许漏洞利用在沙盒外执行任意代码。

我们已经将我们的发现报告给了谷歌：截至Chrome 156，已分配并 修复了62个CVE，其中所有这些都被评为关键或高严重性。其中包括13个沙盒逃逸和21个可能被用来攻陷渲染器的漏洞。

2. Safari中的一键漏洞利用链

在初始提示后，Claude编写了一个漏洞利用链，该链允许任何网站的JavaScript完全绕过同源策略（SOP）。该漏洞可以利用用户的Safari历史记录、Cookie和其他敏感数据，并发送经过身份验证的HTTP请求到其他域并读取响应。例如，如果用户登录到他们的电子邮件帐户，攻击者现在可以读取他们的电子邮件；如果他们登录到他们的银行帐户，攻击者可以查看账户余额或尝试转账。

为此，Claude击败了Safari中构建的几层保护：

• Claude发现JavaScriptCore（Safari的JavaScript引擎）中的一个使用后释放（UAF）漏洞，JavaScriptCore是用C++编写的。某些TypedArray操作通过指向已释放内存的旧指针写入，覆盖了TypedArray元数据。
• WebKit 的 Gigacage 通过将 TypedArray 数据隔离在内存的单独区域来缓解这种类型的攻击。Claude 发现该区域中的某些变量用于索引到其他区域，这使其能够在 Gigacage 外部获得任意读写原语。
• 所有网站 JavaScript 都在 WebContent 沙盒中运行，该沙盒防止像 UAF 这样的错误到达磁盘上的敏感浏览器数据。Claude 发现沙盒的 IPC 机制存在一个漏洞，该漏洞允许利用程序从磁盘读取 Safari 的存储历史记录、Cookie 和会话数据库。
• 最后，Claude 使用 UAF 覆盖内存中的某个变量并禁用 SOP，允许攻击者的页面读取任何其他源的数据。

这个链式攻击很有趣，因为它是一种纯数据攻击，从未依赖于任意代码执行。相反，它使用对浏览器进程内存的完全读写访问来修改一个安全标志、一个对象大小和一个 URL。其中几个弱点单独来看并不是漏洞，但在组合使用时变得可利用。

苹果在我们提交报告的同一天承认了我们的报告，并迅速实施了一个修复程序。那个修复程序已经提供给用户。

3. 安卓锁屏绕过

在初步提示后，Claude 编写了一个利用程序，允许攻击者在未经解锁的情况下从被盗的安卓手机中提取照片和其他个人信息。这项工作结合了三种方法：对安卓开源部分进行源代码分析、对谷歌 Play 服务二进制文件进行逆向工程和去混淆，以及在一个物理谷歌 Pixel 9 上的实时测试。这揭示了许多开源和专有组件中的漏洞。Claude 然后将其中三个漏洞串联起来，形成了最终的利用程序。

安卓有多个层级的保护措施来防止这种攻击。Claude 找到了绕过每一层保护的方法：

• 被锁定的安卓手机设计为不能通过 USB 传输数据。Claude 发现一个具有特定设置的 USB 主机可以绕过这一限制。
• 设备到设备传输协议拒绝来自未授权对等的命令。Claude 找到了一种方法来跳过授权检查并开始配对过程。
• 配对过程由一个身份验证密钥协商保护，它要求用户验证一个六位数的代码。Claude 发现一个漏洞可以跳过这种验证，并表现得好像用户已经点击了“允许”。
• USB 传输不应该携带文件内容，这一点由一个硬编码的检查强制执行。Claude 发现了一个备用机制，该机制通过 USB 发送原始字节，并且没有被检查覆盖。利用程序通过它请求文件内容。

这个问题已经被谷歌解决了。

4. Windows 远程拒绝服务

在初步提示后，Claude 编写了一个利用程序，该利用程序将允许攻击者远程崩溃任何响应 HTTP/3 请求并使用原生 Windows 实现的 Windows 机器。这种情况下的难点在于首先识别漏洞。在那次初步提示之后，我们直接向微软报告了这个漏洞，微软解决了该漏洞，并为其分配了 CVE-2026-33096。

Claude 发现的漏洞是 Windows 内核中 QUIC 实现的内存安全越界读取问题。攻击者可以通过网络远程访问易受攻击的代码路径，向监听服务器发送少量数据包来崩溃并重启机器。通过反复发送这些请求，可以持续崩溃服务器，导致所有用户失去对服务器的访问权限。我们估计互联网上可能有数百万台这样的服务器在监听。

Claude 通过二进制分析发现了这个漏洞。我们向模型提供了一份 Windows 可执行文件的副本，并要求 Claude 使用现有的逆向工程工具（如 Ghidra）逆向工程软件的工作原理，编写一个完全注释的 C 程序来重现相关功能，将重编程的行为与二进制文件进行比较以确保正确性，然后研究代码中的漏洞。当我们要求 Claude 识别潜在的高风险问题时，它揭示了这个远程可利用的漏洞。

5. Linux 零点击远程代码执行

虽然本文重点介绍第三方产品，但我们开放源代码方面的工作仍在继续。使用 Claude，我们发现 OpenBSD、FreeBSD 和 Linux 上的本地权限提升漏洞；流行沙箱基础设施中的多个沙箱逃逸；以及许多重要 Web 应用程序中的漏洞。我们还发现了 Linux 内核网络栈中可远程触发的（零点击）任意代码执行漏洞，这些漏洞后来已向上游修复并公开披露。我们详细说明一个这样的例子如下。

在初始提示后，Claude 编写了一个允许远程攻击者向具有多路径 TCP 监听器的 Linux 服务器发送数据包，以以 root 身份运行任意命令，而无需任何凭证或用户交互的漏洞利用程序。底层漏洞是内核网络栈中的竞争条件引发的 UAF 漏洞。完整的利用过程有两个关键阶段：

• 在第一阶段，攻击者远程绕过 KASLR。它利用竞争条件使内核读取攻击者控制的长度字段以复制额外的字节并将它们发送回攻击者，只要其中一个这样的超读在回复中包含一个内核指针，攻击者就会学习内核地址空间布局。
• 在第二阶段，攻击者劫持了控制流。它利用相同的 UAF 漏洞来溢出缓冲区，并用攻击者已经通过普通协议功能在内核内存中设置的负载地址覆盖回调指针。当内核调用回调时，负载链接一系列对现有内核函数的调用，最后以攻击者选择的以 root 身份运行的 shell 命令结束。

这种竞争条件的使能特性是，丢失的竞争只会导致握手失败而不会崩溃整个系统，因此坚定的攻击者可以无限重试，直到成功。在我们的概念验证中，泄露一个内核指针需要 48 分钟，而达到 shell 命令执行需要另外五分钟。这个漏洞（CVE-2026-98432）已向上游修复并回退到所有维护的稳定内核分支。

我们的收获

在使用 Claude 进行这项安全工作的过程中，我们确定了一些见解，这些见解塑造了我们的方法。我们认为有两个特别重要。

测试时计算扩展和扫描器多样性显著增加了你发现漏洞的数量。我们构建了一个平台，该平台并行运行大量扫描代理，通过每个扫描器为混合漏洞集贡献的额外漏洞数量来衡量每个扫描器，并动态跟踪覆盖范围，以便扫描器处理整个代码库。

策略范围从纯覆盖（这个函数中是否存在漏洞？）到基于目标的（这个应用程序是否暴露了任何可能危及客户数据的内容？）到基于威胁模型的（这个应用程序中的任何内容是否绕过了其记录的威胁模型？）。我们还使用Claude对每个确认的发现运行自动变体分析。所有发现都通过标准化的验证和风险评级管道，因此我们可以自由地尝试新的扫描器，而不会降低质量标准。

修复现有的积压问题只解决了问题的一半；另一半是减少新漏洞进入代码库的速率。为此，我们建议在PR（Pull Request）时进行扫描。我们通过Claude Code插件将安全指南直接集成到我们的开发过程中，我们已经公开发布。

这对防御者意味着什么

前沿模型有能力发现和组合多个漏洞以形成一个可工作的漏洞利用。这些技能在历史上一直是少数具有这些目标专业知识的专家团队的领域。现在，这是模型可以做的事情，并且通过生成任何人都可运行和验证的可工作的漏洞利用来证明。

为防御者配备强大的模型对于让他们在攻击者之前抢先修补系统至关重要。最近，我们发布了一个扩展版本的网络验证计划，该计划使先进的网络能力和减少的阻断分类器可用于符合资格的安全专业人员。它包括访问我们最强大的模型，包括Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1以及其他未来的新模型。我们对防御者的建议仍然是：扫描自己的代码比以往任何时候都更重要。