Anthropic 用 Claude 在 Chrome、Safari、Android、Windows 和 Linux 中发现并利用关键漏洞

过去几个月里，我们使用一个未发布的内部研究模型，在一些全球使用最广泛的软件（如浏览器和操作系统）中发现了关键漏洞。在本文中，我们分享五个攻击链的细节，这些攻击链在几乎无需用户交互的情况下导致了远程代码执行及其他严重影响。这些攻击链展示了该模型在开源和专有软件中创建复杂、多步骤利用程序的能力。这些产品中的任何漏洞都可能影响数十亿用户。它们也是世界上安全关键性最高的软件之一，因此成为测试模型漏洞研究和网络能力的风向标。 我们根据协调漏洞披露流程向受影响的供应商报告了每个漏洞，该流程为开发者提供90天时间进行修补，并在我们讨论公开公告中已包含内容之外的细节之前再提供45天。 1. Chrome中的一键远程代码执行 在初始提示后，Claude编写了一个完整的利用链，使攻击者能够以用户身份在浏览器沙箱之外执行任意代码。我们的概念验证在页面加载后几秒内，从macOS上默认配置的Chrome浏览器启动计算器应用，无需任何进一步用户交互： - Claude发现了Chrome的JavaScript引擎V8中的一个漏洞，该漏洞允许恶意网页破坏V8的堆内存。 - Claude发现了第二个漏洞，用于突破V8的内存区域沙箱并击败ASLR。此步骤在内存中定位Chrome的代码，并使用返回导向编程（ROP）链完全控制渲染进程。 - 受感染的渲染进程被Chrome的进程沙箱所限制。Claude随后发现了CacheStorage中的一个竞态条件。受感染的渲染进程利用该竞态条件读取沙箱外的内存，并了解特权浏览器进程的内存布局。 - 最后，Claude发现了FedCM（Chrome的联合登录功能）中的一个释放后使用漏洞，该漏洞允许利用程序在沙箱外执行任意代码。 我们已向Google报告了我们的发现：截至Chrome 156，已分配并修补了62个CVE，所有漏洞均被评为严重或高危。其中包括13个沙箱逃逸和21个可能被用于攻陷渲染进程的漏洞。 2. Safari中的一键利用链 在初始提示后，Claude编写了一个利用链，让任何网站的JavaScript都能完全绕过同源策略（SOP）。该利用程序可以访问用户的Safari历史记录、Cookie和其他敏感数据，并可以向其他域发送经过身份验证的HTTP请求并读取响应。例如，如果用户已登录其电子邮件账户，攻击者现在可以读取其电子邮件；如果他们已登录银行账户，攻击者可以查看账户余额或尝试转账。 为此，Claude击败了Safari内置的几层保护： - Claude发现了JavaScriptCore（Safari的JavaScript引擎，用C++编写）中的一个释放后使用（UAF）漏洞。某些TypedArray操作通过悬空指针写入已释放的内存，覆盖了TypedArray元数据。 - WebKit的Gigacage通过将TypedArray数据隔离在单独的内存区域来缓解此类攻击。Claude发现该区域中的某些变量被用于索引其他区域，这为其提供了Gigacage之外的任意读/写原语。 - 所有网站JavaScript都在WebContent沙箱中运行，这可以防止UAF等漏洞触及磁盘上的敏感浏览器数据。Claude发现了沙箱IPC机制中的一个漏洞，使利用程序能够从磁盘读取Safari存储的历史记录、Cookie和会话数据库。 - 最后，Claude利用UAF覆盖内存中的一个变量并禁用SOP，使攻击者的页面能够读取任何其他源的数据。 该利用链有趣之处在于它是一种纯数据攻击，从不依赖任意代码执行。相反，它利用对浏览器进程内存的完全读/写访问来修改安全标志、对象大小和URL。其中若干弱点本身并非漏洞，而是预期行为，在组合起来时变得可利用。 Apple在我们提交报告的当天就确认了我们的报告，并迅速实施了修复。该修复已向用户提供。 3. Android锁屏绕过 在初始提示后，Claude编写了一个利用程序，让攻击者无需解锁即可从被盗的Android手机中提取照片和其他个人信息。这项工作结合了三种方法：对Android开源部分的源代码分析、对Google Play服务二进制文件的反向工程和去混淆，以及在物理Google Pixel 9上的实时测试。这在开源和专有组件中都发现了大量漏洞。Claude随后将其中三个漏洞链接到最终利用程序中。 Android对此攻击有多层保护。Claude找到了绕过每一层的方法： - 锁定的Android手机被设计为不通过USB传输数据。Claude发现具有特定设置的USB主机可以绕过此限制。 - 设备到设备传输协议拒绝来自未授权对等方的数据命令。Claude找到了一种跳过授权检查并启动配对过程的方法。 - 配对受经过身份验证的密钥协商保护，要求用户验证六位代码。Claude发现了一个缺陷，可以跳过此验证并表现得如同用户已点击“允许”。 - USB传输不应携带文件内容，这是由硬编码检查强制执行的。Claude发现了一种回退机制，通过USB发送原始字节，且不受该检查覆盖。利用程序通过它请求文件内容。 此问题已由Google解决。 4. Windows远程拒绝服务 在初始提示后，Claude编写了一个利用程序，允许攻击者远程崩溃任何使用原生Windows实现响应HTTP/3请求的Windows机器。此案例的难点在于首先识别漏洞。在初始提示之后，我们直接向Microsoft报告了此漏洞，Microsoft解决了该漏洞并为其分配了CVE-2026-33096。 Claude 识别出的漏洞是 Windows 内核 QUIC 实现中的一个内存安全越界读取漏洞。攻击者可以通过网络远程访问存在漏洞的代码路径，并向监听服务器发送少量数据包，导致机器崩溃并重启。通过反复发送这些请求，可以持续使服务器崩溃，从而导致所有用户都无法访问该服务器。我们估计，互联网上可能有数百万台这样的服务器在监听。 Claude 通过二进制分析发现了这个漏洞。我们向模型提供了一份 Windows 可执行文件的副本，并要求 Claude 使用现有的逆向工程工具（如 Ghidra）逆向分析该软件的工作原理，编写一个带有完整注释的 C 程序来复现相关功能，将复现程序的行为与二进制文件进行比较以确保正确性，然后研究代码中的漏洞。当我们要求 Claude 识别潜在的高风险问题时，它发现了这个可远程利用的漏洞。 5. Linux 中的零点击远程代码执行 虽然本文重点讨论第三方产品，但我们在开源方面的工作仍在继续。借助 Claude，我们在 OpenBSD、FreeBSD 和 Linux 上发现了本地权限提升漏洞；在流行的沙箱基础设施中发现了若干沙箱逃逸漏洞；以及在重要的 Web 应用程序中发现了大量漏洞。我们还在 Linux 内核的网络栈中发现了可远程触发（零点击）的任意代码执行漏洞，这些漏洞已在上游修复并公开披露。下面我们详细说明其中一个示例。 在初步提示后，Claude 编写了一个漏洞利用程序，允许远程攻击者向运行多路径 TCP 监听器的 Linux 服务器发送数据包，从而在没有任何凭据或用户交互的情况下以 root 身份运行任意命令。底层漏洞是内核网络栈中由竞态条件引发的 UAF 缺陷。完整的利用过程有两个关键阶段： - 在第一阶段，攻击者远程破解 KASLR。它利用该竞态使内核读取攻击者控制的长度字段，以复制额外字节并将其发送回攻击者；只要有一次这样的越界读取在回复中包含内核指针，攻击者就能获知内核地址空间布局。 - 在第二阶段，攻击者劫持控制流。它利用同一个 UAF 缺陷溢出缓冲区，并用攻击者已通过普通协议特性暂存到内核内存中的载荷地址覆盖回调指针。当内核调用该回调时，载荷会串联一系列对现有内核函数的调用，最终以 root 身份执行攻击者选定的 shell 命令。 该竞态条件的一个有利特性是，竞态失败只会导致握手失败而不会使整个系统崩溃，因此坚定的攻击者可以无限重试直到成功。在我们的概念验证中，泄露内核指针耗时 48 分钟，再花五分钟达到 shell 命令执行。该漏洞（CVE-2026-98432）已在上游修复，并向后移植到所有维护中的稳定内核分支。 我们学到了什么 在我们使用 Claude 进行这项安全工作的整个过程中，我们总结出若干影响我们方法的洞见。我们认为其中两点尤为重要。 测试时计算扩展和扫描器多样性可大幅增加发现的漏洞数量。我们构建了一个平台，可并行运行大量扫描代理，根据每个扫描器贡献的额外漏洞数量来衡量其效果，并动态跟踪覆盖率，使扫描器能够处理整个代码库。 这些策略涵盖从纯覆盖率（这个函数中是否存在漏洞？）到基于目标（这个应用是否暴露了任何可能危及客户数据的内容？）再到基于威胁模型（这个应用中是否有任何内容绕过了其文档化的威胁模型？）。我们还使用 Claude 对每个已确认的发现进行自动化变体分析。所有发现都经过标准化的验证和风险评级流程，因此我们可以自由试验新的扫描器，而不会降低质量标准。 修复现有积压问题只能解决一半的问题；另一半是降低新漏洞进入代码库的速度。为此，我们建议在 PR 时进行扫描。我们通过一个 Claude Code 插件将安全指导直接构建到我们的开发流程中，该插件已公开发布。 这对防御者意味着什么 前沿模型有能力发现多个漏洞并将其组合成可用的漏洞利用程序。这些技能历来只属于少数在这些目标方面具有专业知识的专家团队。现在，模型可以在极少人工参与的情况下做到这一点，并通过生成任何人都可以运行和验证的可用漏洞利用程序来证明。 为防御者提供强大的模型对于让他们在攻击者之前抢先修补系统至关重要。最近，我们发布了网络验证计划的扩展版本，为合格的安全专业人员提供高级网络能力和降低的拦截分类器。它包括对我们最强大模型的访问权限，包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 以及其他后续新模型。我们对防御者的建议保持不变：扫描你自己的代码比以往任何时候都更加重要。