模型自己找出五条攻击链：Anthropic 红队报告给防守方留下了什么

10 月 27 日，Anthropic 的研究团队发了一篇博客：他们用未发布的内部研究模型（文中称 Claude），在 Chrome、Safari、Android、Windows、Linux 五个真实目标上构造出五条完整的攻击链，后果涵盖一键远程代码执行、零点击 RCE、锁屏绕过和远程拒绝服务——报告原话是"little to no user interaction"下达成 critical impacts。所有漏洞都已按协调披露流程上报并修补。文章署名作者包括 Nicholas Carlini、David Dworken、Xinyang Ge、Ben Morris、Milad Nasr、Chris Rohlf、Luna Tong——这份名单本身就是安全研究的分量证明。

这篇报告值得防守方逐段精读的原因不是"AI 真厉害"，而是它罕见地公开了每条链的结构：哪些环节是单点漏洞、哪些环节只是"本来设计如此的行为"被组合后变得可利用、以及团队自己承认的方法论教训。以下按报告原文梳理五条链，再讨论它对检测、修复节奏和扫描策略的实际含义。文中只保留原理层描述，不复现任何可直接拼装的利用细节；所有工作均在授权研究与协调披露范围内进行。

五条链各自长什么样

Chrome：四个洞叠成一键 RCE。 报告列出的链条分四步：先是在 V8 引擎里找到一个能让恶意网页破坏堆内存的漏洞；接着找第二个漏洞突破 V8 的内存区域隔离、击败 ASLR，用 ROP 链拿下渲染进程；渲染进程仍被 Chrome 的沙箱关着，于是又发现 CacheStorage 里的一个竞态条件，借此读到沙箱外内存、摸清特权进程的布局；最后用 FedCM（Chrome 的联邦登录功能）里的一个释放后使用漏洞跳出沙箱执行任意代码。PoC 在 macOS 默认配置的 Chrome 里加载页面后几秒内就弹出了计算器应用，无需用户进一步交互。这条链上报给 Google 后共分配了 62 个 CVE，截至 Chrome 156 全部修补，评级均为严重或高危，其中 13 个沙箱逃逸、21 个可用于攻陷渲染进程。换句话说，这不是"一个漏洞"，而是一个浏览器内核纵深防御体系被四个独立缺口依次拆解的过程。

Safari：不执行任何代码的同源策略绕过。 第二条链有意思的地方在于它是纯数据攻击：全程不需要任意代码执行。Claude 先在 JavaScriptCore 里找到一个 TypedArray 操作写穿悬垂指针的释放后使用漏洞；WebKit 用 Gigacage 把 TypedArray 数据隔离到独立内存区来缓解这类攻击，但 Claude 发现该区域内某些变量被用来索引其他区域，由此拿到 Gigacage 外的任意读写原语；WebContent 沙箱本应阻止这类缺陷触达磁盘上的敏感数据，Claude 又从沙箱的 IPC 机制里找到缺口，读出 Safari 的历史记录、Cookie 和会话数据库；最后用那个释放后使用漏洞覆写内存变量，直接关掉同源策略开关。报告特别指出：链上若干弱点单独看甚至不算漏洞，而是「预期行为」，组合起来才可利用。后果是任意网站可以读取用户登录状态下的邮箱、查看银行账户余额。Apple 当天确认收到报告并很快发布了修复。

Android：四层防护各找到一层绕法。 第三条链的目标是从未解锁的被盗手机上提取照片等个人信息。工作方式是三种手段结合：对 Android 开源部分做源码分析、对 Google Play 服务二进制做逆向与去混淆、在实体 Pixel 9 上做活体测试。报告列出的攻防对照很直白：锁定手机设计上拒绝 USB 数据传输，Claude 发现特定设置的 USB 主机可以绕过；设备间传输协议拒绝未授权对端的数据命令，Claude 找到跳过授权检查直接进入配对流程的路径；配对有六位码人工验证，Claude 找到一个缺陷让它表现得像用户点了「允许」；USB 传输本不允许携带文件内容（硬编码检查拦截），Claude 发现一条发送原始字节的回退机制不在检查覆盖范围内。Google 已修复。

Windows：内核 QUIC 解析器里的越界读。 第四条链是远程拒绝服务：向任何用 Windows 原生实现响应 HTTP/3 的服务器发几个特制数据包，就能让机器崩溃重启；反复发送即可持续打断服务。Anthropic 估计互联网上监听此类请求的服务器可能有数百万台。微软已分配 CVE-2026-33096 并在 2026 年 4 月补丁日发布修复，MSRC 页面标注 CWE-125 越界读、CVSS 3.1 基线 7.5、重要级别。值得防守方注意的一个口径差异：微软官方公告把它归为 HTTP.sys 拒绝服务漏洞，而第三方情报页描述触发点在 QUIC 帧解析器（UxQuicParseFrame）——帧恰好在接收缓冲区边界结束时，长度前缀字节会被多读一字节。两个说法不矛盾，HTTP.sys 正是 Windows 上承载 IIS、WinRM 等服务的内核级 HTTP 栈。

Claude 发现这个洞的方式也值得一提：团队给它一份 Windows 可执行文件，要求它用 Ghidra 等现成逆向工具搞清楚软件如何工作、写一个带完整注释的 C 程序复现相关特性、把复现程序和二进制对比确保行为一致，然后再研究代码找漏洞。当被要求指出风险更高的问题时，它给出了这个可远程触发的缺陷。这是"逆向→复现→差分验证→审计"的标准人工流程被模型端到端走完的案例。

Linux：零点击打到 root。 第五条链针对 Linux 内核网络栈。底层缺陷是一个竞态条件引发的释放后使用：远端攻击者向开了 multipath TCP 监听的 Linux 服务器发包，无需凭据、无需用户交互即可最终以 root 执行任意命令。利用分两段：先远程击败 KASLR——利用竞态让内核按攻击者可控的长度字段多拷贝一些字节并回传，只要某次超读里带出一个内核指针，地址布局就暴露了；然后劫持控制流——同一个缺陷溢出缓冲区、覆写回调指针指向预先通过正常协议特性放进内核内存的载荷，内核调用回调时串起一串现有内核函数，落到攻击者选的 shell 命令。报告还给出一个重要的"使能属性"：这场竞态输了只会让握手失败，不会把系统打崩，所以耐心的攻击者可以无限重试直到成功。他们的 PoC 用了 48 分钟泄漏内核指针、再加 5 分钟走到命令执行。该漏洞以 CVE-2026-98432 公开，上游已修补并回合到所有维护中的稳定分支。

这里必须诚实指出一个来源间的分歧：Anthropic 博客把这条链描述为 multipath TCP 场景下的零点击 root RCE，而 kernel.org 分配的 CVE-2026-98432 描述的是 IPv4 TCP SYN 处理中 ireq_opt 所有权转移未复制、另一 CPU 并发处理重传 SYN 构建 SYNACK 时对已释放选项的释放后使用（修复方式是把两处 kfree 改为 kfree_rcu）。Red Hat 对该 CVE 的评估是 MODERATE（CVSS 5.9，高攻击复杂度，实际最坏情况偏拒绝服务），且注明主要问题不涉及 IPv6。两条描述是否指向同一缺陷，公开材料没有完全对齐——谨慎的读法是：内核网络栈确实存在这类"所有权转移 + 无锁处理"造成的竞态族，Anthropic 展示的利用能力属实，但具体到 CVE 编号的一一对应关系，以各家公告为准，不宜合并成一个故事讲。

报告里真正的增量：两条方法论自白

比起攻击链本身，“What we learned” 一节的信息密度更高，因为这是 Anthropic 第一次把内部扫描平台的运营细节写出来。

第一条：测试时算力的扩展和扫描器的多样性会显著改变你能找到多少漏洞。 他们建了一个平台并行跑大量扫描 agent，衡量每个扫描器的指标是「它为总量贡献了多少额外漏洞」，并动态跟踪覆盖率确保整个代码库被处理过。策略谱系从纯覆盖（这个函数里有没有洞）、到目标导向（这个应用有没有暴露可能危及客户数据的东西）、再到威胁模型导向（有没有东西绕过了文档声明的威胁模型）。每个确认的发现还会由 Claude 自动做变体分析，所有发现走统一的验证和风险定级管线——这样新扫描器可以自由实验而不降低质量门槛。这套设计对任何自建 AI 扫描能力的团队都是现成的参照：单一 prompt 风格的扫描器会收敛到同一批低垂果实，边际价值要靠策略分化来买。

第二条：清完存量积压只解决一半问题，另一半是降低新漏洞进入代码库的速率。 他们的建议是在 PR 阶段扫描，并把安全指引直接嵌进开发流程——用一个 Claude Code 插件实现，且已公开发布（anthropics/claude-plugins-official 仓库的 security-guidance 插件）。这和去年以来"左移"话语的区别在于：这次是模型在 PR diff 上实时执行威胁建模，而不是静态规则匹配。

对防守方的实际含义

报告给出的防守侧动作很克制：前沿模型已经能把多个漏洞组合成可运行的利用，这种能力过去属于少数专家型攻击队；现在模型能在很少人类参与下做到，并且用"任何人都能运行验证的工作 PoC"自证。对策一是尽快升级上述产品（Chrome 156、微软 4 月补丁、内核稳定分支均已可用，Apple 在收到报告当天确认并很快发布了修复）；二是"扫描自己的代码比以往任何时候都重要"——Anthropic 同时扩大了 Cyber Verification Program，向合格安全从业者提供高级模型和低阻断分类器。

从检测视角补几句报告没写的：这五条链里有三条依赖"组件单独无害、组合才致命"的结构（Safari 的预期行为组合、Android 的四层各绕一点、Chrome 的跨子系统接力）。这类链对以单点 CVE 匹配的资产台账和 IDS 签名天然是盲区——Juniper 为 CVE-2026-33096 出的 IPS 签名（APP:MISC:MS-HTTP-SYS-QUIC-OOB）盯的是 HTTP.sys QUIC 解析这一个单点缺陷；而 Chrome 那条链是四个跨子系统的独立缺口依次接力，没有任何单一 CVE 签名能对应"四次各自合法的访问凑成一次逃逸"。防守方更可行的抓手反而是报告自己示范的两件事：把内核态网络栈这类高权限面收窄暴露（不需要 HTTP/3 的服务就没必要开着 QUIC 监听），以及把 PR 阶段的模型辅助审查接入自家流水线——攻击者在获得无限重试机会之前，你的窗口就是修补速度。

还有一点容易被忽略：这批发现来自"未发布的研究模型"。Anthropic 把它定位为模型网络能力的风向标测试——今天的趋势线意味着明年公开模型的同类能力会更便宜。防守方评估预算时，应该把"AI 辅助漏洞挖掘成为常态"当作输入条件，而不是当作尾部风险。

参考来源：Anthropic《Discovering and exploiting vulnerabilities in critical, real-world software with Claude》（2026-10-27，research 栏目）；Microsoft MSRC CVE-2026-33096 公告（2026-04-14）；kernel.org CVE-2026-98432 记录（发布于 2026-10-15，更新于 10-24）；Red Hat 与 Debian 安全追踪页对该 CVE 的评估（2026-10 采集快照）。