Claude 模型構造跨瀏覽器與作業系統攻擊鏈

來源：Algi Febri Sugita 透過 Shutterstock

Anthropic 本週表示，一個未發布的 Claude 版本發現了全球最廣泛使用的一些瀏覽器和作業系統中的關鍵漏洞，並將它們連結成 可運作的利用程式，只需極少或不需要人工互動。

這些利用程式包括一個可從鎖定的 Android 手機竊取資料的漏洞、另一個零點選利用程式允許 遠端程式碼執行（RCE）並取得 Linux 伺服器的 root 許可權，以及第三個可能讓攻擊者遠端使 Windows 系統崩潰的漏洞。Anthropic 表示，該模型共產生了五個針對 Chrome、Safari、Android、Windows 和 Linux 的可運作利用程式。所有受影響的供應商在 Anthropic 報告後已修補這些漏洞。

這些利用程式是最新證據，顯示前沿 AI 模型已不僅僅識別單一缺陷，而是將多個缺陷組合成 複雜可運作的利用程式。Anthropic Frontier Red Team 本週在 部落格文章中表示：「這些攻擊鏈展示了模型在開源與專有軟體中創造複雜、多步驟利用程式的能力。」

相關：GhostAction 駭客浪潮失敗，但攻擊者仍在 GitHub 潛伏

從漏洞發現到連結利用程式

研究人員指出，歷史上製作這類連結利用程式需要具備領域專業知識的專門團隊。如今，模型可以在極少人工參與下完成，並透過產生可執行的利用程式證明其可被任何人執行和驗證。

Anthropic 的報告描述了一個單擊式 RCE 利用鏈，涉及 macOS 上的 Chrome。該利用程式結合了 Chrome JavaScript 引擎、記憶體保護、瀏覽器程序隔離以及聯邦登入功能的四個漏洞。

Claude 發現的每個漏洞都協助突破不同的安全控制，讓連結利用程式能逃離瀏覽器的沙盒。作為概念驗證，Anthropic 的利用程式在使用者載入惡意網頁時，從 Chrome 啟動 macOS Calculator。

Anthropic 表示已向 Google 報告 62 個漏洞，所有漏洞均已分配 CVE 識別碼，評級為高或嚴重，並已在 Chrome 156 中修補。

在 Safari 上，Claude 的利用鏈允許任何網站上的 JavaScript 迴避 同源政策，這是一項防止一個網站存取另一個網站資料的安全控制。攻擊者可利用此漏洞存取使用者的瀏覽歷史、Cookie 與會話資料，甚至可能讀取已驗證網站的資訊。

"For example, if the user is signed in to their email account, the attacker can now read their email; if they’re logged into their bank account, the attacker can view account balances or attempt transfers," Anthropic said. The exploit chain combined four weaknesses Claude identified in Safari — a use-after-free flaw in Safari's JavaScriptCore engine, a way to bypass WebKit's Gigacage memory protection, a vulnerability in the WebContent sandbox, and a JavaScriptCore flaw.

相關：實際攻擊濫用 AI 代理對 Markdown 的信任

Anthropic 表示，Apple 已經 修復了此問題。

同時，Android 漏洞針對鎖定的 Google Pixel 9。Claude 連結了 Android 裝置傳輸與 USB 處理機制中的三個漏洞，繞過四層防護，從未解鎖的手機中提取照片及其他個人資訊。Anthropic 表示 Google 已處理此問題。

Claude 的 Windows 漏洞，Microsoft 已經修補，涉及可遠端利用的拒絕服務（DoS）漏洞。該缺陷是 Windows 核心實作 HTTP/3 所使用傳輸協定的越界讀取。攻擊者可向易受攻擊的伺服器傳送少量特製網路封包，使其崩潰並重複觸發崩潰，進而中斷使用者存取，Anthropic 稱。

對於 Linux，Claude 開發了一個零點選漏洞，針對核心網路棧，可讓未經身份驗證的遠端攻擊者在受影響的伺服器上以 root 許可權執行指令，且不需要任何使用者互動。Anthropic 表示：「此漏洞（CVE-2026-98432）已在上游修補並回移至所有維護中的穩定核心分支。」

相關：是否暴露於 PHP2Shell？網路安全專家提供建議

擴充防禦者對更強大模型的存取

隨著 AI 在發現與利用漏洞方面日益精進，Anthropic 表示防禦者需要強大的模型來在攻擊者利用缺陷之前修補漏洞。公司表示：「為防禦者提供強大模型至關重要，能讓他們在攻擊者之前先行修補系統。」

為此，該公司正透過 Cyber Verification Program 擴充對經過審核的網路安全專業人士的最高效能 AI 模型存取。該計畫現在有三個存取層級，讓安全團隊可申請適合其工作需求的存取等級。

Anthropic 表示：「它包含對我們最強大模型的存取，包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1，以及未來推出的其他新模型。」「我們對防禦者的建議依舊不變：掃描自己的程式碼比以往任何時候都更重要。」

Andrew Bolster，Black Duck 的資深研發經理表示，Anthropic 的成果在可驗證時是可信的。他指出 Chrome、WebKit、Windows 和 Linux 的修補皆為公開資訊，但任何聲稱 Claude 自主發現它們的說法屬於 Anthropic 自身。Bolster 說：「報告未提供成功率、成本或每個鏈的人工小時，這些是安全領導者所需的關鍵背景。」

他說，某些條件使漏洞能夠運作也值得注意。例如，Android 連鎖需要被盜手機與 USB 線，而 Linux 漏洞則需開放 MPTCP 監聽器。Bolster 說：「漏洞基準顯示，一旦啟用 ASLR、堆疊保護與沙盒，模型成功率急劇下降；VulnCheck 只確認 1.3% 的 AI 發現漏洞在實際環境中被利用。」他補充：「交付、可靠性與目標先決條件目前仍是攻擊者的問題，但我預期這一差距將逐漸縮小。」

Claude 的連鎖利用案例再次表明，AI 已降低了發現漏洞與構建可運作攻擊的門檻，Suzu Labs 的安全 AI 解決方案與網路安全高階主管 Jacob Krell 這樣說。但概念驗證與實際可靠攻擊之間仍存在相當大的障礙。Krell 指出：「在一個蜜罐上取得 shell，對下一臺伺服器的工作執行者數量、構建版本或核心(kernel)瞭解甚少。」他補充說：「AI 使得尋找漏洞變得便宜。讓它在從未見過的伺服器上運作，仍是最昂貴的部分。」

他還警告說，概念驗證與可靠、廣泛可部署攻擊之間的差距，越來越多地取決於時間與針對目標的調整，而非專門的技術專長。

Black Hills Information Security 的業主 John Strand 補充說，防禦者若假設這類漏洞發現總是需要最強大的 AI 模型，便犯了錯誤。『本地系統，包括擁有 128GB 記憶體的 Mac Studio 或 DGX Spark，都能支援 AI 協助的逆向工程與漏洞研究。目標、模型、工具以及操作者的技巧才是關鍵。』

Strand 說，攻擊者可能需要更長時間，使用較不強大的系統，而攻擊在較小、審查較少的程式碼庫上才更實際。但防禦者必須考慮這種能力。『如果 AI 能在 Windows、Android、Linux 與 Chrome 中發現漏洞，那對於只得到那部分注意力的程式碼又意味著什麼？想想你的 IP 相機。想想遠端辦公室路由器的韌體。所有這些都在考量之中。』

作者簡介

撰稿人

Jai Vijayan，來自伊利諾州，是一位擁有 25 年以上網路安全報導經驗的資深、獲獎技術記者。他的資訊安全報導涵蓋從勒索軟體、國家級威脅、身分安全，到 AI 風險、關鍵基礎設施保護、軟體供應鏈安全、雲端安全與新興企業技術的所有議題。

在其職涯中，Jai 為企業與技術讀者撰寫新聞稿、專題文章、調查報告、白皮書與電子書。他亦主持過包含 CISOs、網路安全研究員與產業領袖的座談會與執行層圓桌討論。

Jai 之前擔任 Computerworld 的資深編輯，負責資訊安全與資料隱私議題。他的作品亦曾刊登於 CSO Online、InformationWeek、The Christian Science Monitor Passcode、The Economic Times 及其他刊物。

他的作品獲得多項業界榮譽，包括 ASBPE 合作卓越獎（最佳政府 IT 報導）以及 Jesse H. Neal 合作獎（無線 LAN 安全報導）。Jai 擁有班加羅爾大學統計學碩士學位，並曾在密爾沃基的 Marquette 大學學習廣播與電子通訊。