2026-11-01 02:28:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Claude 自己挖出五条攻击链：Chrome 一次点击、Linux 零点击 root

Ots安全

2026年10月28日 19:09
广东

去阅读

威胁简报

恶意软件

漏洞攻击

10 月 27 日，Anthropic 的 Frontier Red Team 发了一篇研究：《Discovering and exploiting vulnerabilities in critical, real-world software with Claude》。

核心主张一句话能说完：他们用一个未发布的内部研究模型，在 Chrome、Safari、Android、Windows、Linux 里各挖出一条可利用的攻击链，全部在公开前报告了厂商。

第二天凌晨，X 上有研究者把它转成了中文（@cyberestro / ZheFox，r3kapig 团队成员），但只转了第 5 章「Linux 零点击 root」那一段，传播量也有限（数百次浏览）。

这类报道很容易滑向两个极端：要么当 AI 革命照单全收，要么当营销稿一笑了之。我们把它当作一份可核对的技术报告来读——结果是，成果是真的，数字口径需要打几个补丁，而真正可复用的东西不在那五个洞里。

一、五条链，一张图看全

按研究页自述，五条链的最终效果分别是：

① Chrome —— 一次点击，出沙箱执行任意代码。 链路为：V8 堆内存破坏 → 再找一个洞突破 V8 内存区域沙箱并击败 ASLR，用 ROP 链完全控制 renderer → 利用 CacheStorage 竞态读取沙箱外内存、摸清特权 browser 进程布局 → 最后用 FedCM（Chrome 的联合登录功能）里的一个 use-after-free 出沙箱。PoC 在默认配置的 macOS Chrome 上，页面加载后数秒弹出计算器，之后无需任何交互。

② Safari —— 一次点击，绕过同源策略。 JavaScriptCore 的 UAF → 绕过 Gigacage 拿到任意读写原语 → 沙箱 IPC 机制缺陷读取磁盘上的历史、cookies、会话数据库 → 覆写内存变量关掉 SOP。

③ Android —— 需物理接触，绕过锁屏。 结合三种方法：AOSP 开源部分源码分析、Google Play services 二进制的逆向与去混淆、Pixel 9 实机测试。四层防护被逐层绕过，包括跳过六位配对码验证（表现等同用户点了「Allow」）。

④ Windows —— 远程拒绝服务。 内核 QUIC / HTTP.sys 越界读，几个数据包打崩监听服务器，反复发送可持续宕机。

⑤ Linux —— 零点击，root 执行任意命令。 内核网络栈竞态型 UAF，详见第三节。

二、值得单独拿出来看的两条

Safari 那条的反直觉之处：它是 data-only attack，全程不依赖任意代码执行。拿到 browser 进程的完整读写能力后，攻击者只改了三样东西——一个安全标志、一个对象大小、一个 URL——就把同源策略关掉了。

这条对防守方的含义比「又是一个 RCE」重得多：如果你的检测体系主要盯着代码执行、注入、异常内存属性，这类「只改数据不动控制流」的攻击是不进视野的。

Anthropic 自己也点破了一件事（原文大意）：链上的若干薄弱点单独看并不是漏洞，而是预期行为，只有组合起来才可被利用。这对威胁建模是个提醒——逐个组件评审「这个模块安全吗」，评不出这一类问题。

三、X 上在传的那条：Linux 零点击

按研究页描述，这条链分两阶段：

阶段一，远程击败 KASLR。

利用竞态让内核读取攻击者控制的长度字段，多复制一些字节并发回来；只要其中一次 overread 的回复里含有内核指针，攻击者就拿到了地址空间布局。PoC 约 48 分钟。
* 阶段二，劫持控制流。

用同一个 UAF 溢出缓冲区，把回调指针覆写成 payload 地址。而这个 payload 不是「注入」进去的——它先借某个普通协议特性暂存进了内核内存。内核调用回调时，payload 链式调用一系列现有内核函数，最终以 root 执行攻击者选定的 shell 命令。再约 5 分钟。

一个关键属性：输掉竞态不会打崩系统，只是握手失败，所以攻击者可以无限重试。

四、⚠️ 三处必须说明的口径落差

这是本文想补充的重点。把研究页的数字拿去和官方记录对，会发现三处系统性差异——它们都不指向「造假」，而指向「口径不同」：官方记录按提交时观察到的直接影响定级，研究页描述的是链式利用后的最终效果。

① Chrome：62 不是 Chrome 156 的单次计数。

研究页说「62 个 CVE 已在 Chrome 156 分配并修补」。但 Google 官方发布说明显示，Chrome 156 桌面稳定版（10-20 发布）单次含 353 个安全修复、6 个 critical；公告里署名 Xinyang Ge 的 critical / high 共 15 条，其中 5 条标注「assisted by Claude」。独立统计认为，62 是 Anthropic 跨多个版本的自报累计数。

② Windows：是拒绝服务，不是代码执行。

CVE 官方记录（CNA 为 Microsoft）标题是「HTTP.sys Denial of Service Vulnerability」，CVSS 3.1 = 7.5，向量里只有可用性影响（C:N/I:N/A:H）。微软明确记录该问题未被公开披露、未被利用，列出的临时缓解措施是关闭 HTTP/3。Anthropic 说的「互联网上约数百万台服务器」是其自身估算。

顺带一个有意思的细节：这条的官方致谢是「Milad Nasr (Anthropic) and Calif.io with Claude」。Calif.io 这家机构，在昨天我们写 iOS 27.2 那两条 CoreGraphics 越界写时也出现过。

③ Linux：官方记录没提 multipath TCP。

CVE-2026-98432 的官方记录（10-15 发布）把问题表述为内核 IPv4 TCP 连接处理的竞态内存问题；独立漏洞库（SentinelOne 等）目前只给到「内存破坏或拒绝服务」，并注明尚无已验证的公开 PoC，要升级到代码执行还需精确的时序、SMP 与内核堆布局控制。记录里没有 multipath TCP 字样，这个关联目前只来自 Anthropic 的陈述。

但反过来说，发现本身是有据可查的：上游补丁里确实署了一名 Anthropic 研究者的名字为报告人；CNA 定级 critical（CVSS 9.8）；修复版本含 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10，已回移植到所有在维护的稳定分支。

五、可复用的部分：不在那五个洞里

研究页「What we learned」一节，才是任何团队都能照着搭的东西。

其一，测试时算力扩展 + scanner 多样性。 他们建了一个平台：并行跑大量 scanning agents，按「每个 scanner 额外贡献了多少个漏洞」给它打分，动态跟踪覆盖率。扫描策略分三类：

pure coverage

：「这个函数里有洞吗？」
* goal-based

：「这个应用会不会暴露能危害客户数据的东西？」
* threat model-based

：「有没有东西绕过了它自己声明的威胁模型？」

此外，每个已确认发现都会自动跑一遍 variant analysis（找同类问题），所有发现都要过统一的验证与风险评级流水线。

其二，治理增量比清理存量更重要。 原话大意：修掉现有积压只解决一半问题，另一半是降低新漏洞进入代码库的速率——建议在 PR 阶段就扫描。这套安全指引已做成 Claude Code 插件公开发布。

六、一个绕不开的问题：这份信源该怎么看

公平地说，Anthropic 的安全叙事此前是有争议的：

2025 年 11 月的 GTG-1002（AI 编排间谍活动）报告，被 Kevin Beaumont、Daniel Card 等研究者质疑缺乏可核对指标，Yann LeCun 称之为「营销话术」
2026 年 4 月的「克劳德神话」风波中，Sam Altman 公开批评 Anthropic 使用「基于恐惧的营销策略」；有媒体指出所谓「自主发现数千个严重漏洞」实为约 198 份人工审核报告的外推，且不少存在于较旧版本或根本无法被利用；英国 AI 安全研究所的独立评估也指出其测试环境缺少真实防护（主动防御人员与防护工具），结果不能直接等同于现实效果

但这一次不一样，而且这个差别很关键：前两类争议的硬伤是「不可核对」，而这份报告里的成果有可独立核查的物证——

Google 的 Chrome 发布说明里，白纸黑字写着 \"Reported by Xinyang Ge (Anthropic), assisted by Claude\"
Microsoft 的 CVE 记录里写着 \"Milad Nasr (Anthropic) and Calif.io with Claude\"
Linux 上游补丁里署着 Anthropic 研究者的名字

三家厂商都确实修了，且都署了名。这一点经得起查。

顺带一个观察：Chrome 156 的 critical 列表里，OpenAI Codex Security 同样在列（CVE-2026-113303，WebRTC 内存破坏）。AI 挖洞不是一家的事，已经是这批浏览器公告里的常态条目了。

七、防守方该做什么

动作不随口径变化，别等定级吵完：

① 浏览器——升到 Chrome 156.0.8078.47/.48 或更高（该稳定版含 353 个安全修复、6 个 critical）；后续 156.0.8078.73/.74 又追加了 52 个。Chromium 系的 Edge、Brave 等会跟进，一并排期。

② Windows——装补丁（Windows 11 23H2 需到 10.0.22631.6936、24H2 到 10.0.26100.8246、25H2 到 10.0.26200.8246、Server 2025 到 10.0.26100.32690 等）。暂时打不上的，先关掉 HTTP/3——这是微软自己列的临时缓解措施。

③ Linux——升到已修复的稳定分支（5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10 等）。这条无论最终是 DoS 还是 RCE，都该打。

④ 检测思路要补一格——Safari 那条链提示我们，只盯代码执行的检测体系会漏掉 data-only 攻击。内存完整性、异常跨源读取行为值得单独建检测。

⑤ 流程上做两件事——把扫描左移到 PR 阶段（治理增量），并对每个已确认缺陷自动跑变体分析（同一个 bug 往往不止一处）。

参考

Anthropic 研究页

：Discovering and exploiting vulnerabilities in critical, real-world software with Claude（Frontier Red Team，2026-10-27）
* X 转述帖

：@cyberestro / ZheFox（2026-10-28，中文，仅转述第 5 章）
* Chrome 官方发布说明

：Stable Channel Update for Desktop（Chrome 156，2026-10-20）
* CVE 记录

：CVE-2026-33096（CNA: Microsoft）
* Anthropic 相关链接

：协调漏洞披露政策、开源漏洞发现服务、Claude Code 安全插件（github.com/anthropics/claude-code/tree/main/plugins/security-guidance）、Cyber Verification Program
* 独立佐证

：TSNMedia、ExplainX、CyberSecureFox、SentinelOne 漏洞库、Vulnios、cybersecurity-help、绿盟科技漏洞库；质疑背景来自 BleepingComputer、The Record、Tom's Hardware 及中文媒体对「克劳德神话」风波的报道

END