Anthropic 未發布 AI 模型將多個瀏覽器與作業系統漏洞連結為可執行攻擊

未發布的 Anthropic AI 模型發現 Chrome、Safari、Android、Windows 與 Linux 的安全漏洞，並將其串連成可執行的概念驗證漏洞利用，該公司在最新報告中表示。

這些漏洞利用是在實驗室中，模型被提示後構建的，並未出現在任何真實攻擊中。Anthropic 先將每個漏洞報告給供應商，故所有漏洞已經被修補。一次概念驗證示例在網頁載入幾秒後即開啟安裝在 Chrome 上的 Mac 標準計算機應用程式，無需額外點選。

Anthropic 的 Frontier Red Team 在研究貼文中描述了五條鏈。最強的說法不是單一漏洞，而是某個模型發現多個獨立漏洞並將它們結合成可執行的漏洞利用，該公司表示這直到目前為止都是少數專業團隊的工作。這項能力說法基於 Anthropic 自己的說明。

修補程式以及 Apple 和 Google 將特定修正歸功於 Anthropic 及其 Claude 模型的事實，可由供應商驗證。

讀者無法核實模型自行構建每條鏈的程度。Anthropic 表示工作僅需 "initial prompting" 和 "little human involvement," 但未細分每一步人為操作，也未將模型具名，僅稱其為未發布的內部研究模型。

對於具有公開紀錄的單一漏洞，即 Windows 漏洞，紀錄中根本未列出任何發現者。以下列出五條鏈、各自的功能、所需條件以及修正落在哪裡。

平臺	漏洞利用所做的事	所需條件	修正
Chrome	從一次訪問網頁開始，於瀏覽器沙盒之外執行程式碼於電腦上	一次點選或頁面載入，macOS 上的標準 Chrome	Chrome 156, October 20
Safari	允許任何網站讀取使用者已登入的其他網站資料，例如電子郵件或銀行帳戶	一次造訪惡意頁面	iOS and iPadOS 26.5.2, June 29
Android	從被鎖定、被盜手機中複製照片及其他資料	透過 USB 取得手機實體存取權	Anthropic 表示 Google 已修復；未發現公開紀錄
Windows	透過網路造成伺服器崩潰，並透過重複行為使其持續停機	伺服器回應 HTTP/3 請求	CVE-2026-33096, patched April 2026
Linux	以 root 身份在網路上執行指令，無需登入且無使用者操作	伺服器執行多路徑 TCP 監聽器	CVE-2026-98432, patched October 15

在 Chrome 鏈中，模型依次利用了四個獨立漏洞。惡意頁面首先破壞了 V8（Chrome 的 JavaScript 引擎）的記憶體。

第二個漏洞突破了 V8 的記憶體沙盒，並取得控制權於 Chrome 的渲染部分。名為 CacheStorage 的功能中的競爭條件使該程式碼得以閱讀本不應存取的記憶體，並瞭解更高許可權瀏覽器程序的佈局。

最後，FedCM（Chrome 的登入功能）中的一次 use-after-free 漏洞使漏洞利用完全在沙盒之外執行程式碼。Anthropic 表示已向 Google 報告 62 個漏洞，已分配 CVE 並於 Chrome 156 之前修復，全部評為嚴重或高危，包含 13 個沙盒逃逸。

Google 自己的發布說明將「Anthropic 的 Xinyang Ge，Claude 協助」列為特定 Chrome 修正的貢獻者，雖然並非所有 62 個修正都如此。

Safari 連鎖不同之處在於它完全不執行任何程式碼。它將漏洞串聯起來，以取得瀏覽器記憶體的完整讀寫存取，然後改變一個值以關閉同源政策，這條規則阻止一個網站閱讀另一個網站的資料。

關閉此規則後，惡意頁面可讀取使用者的瀏覽紀錄與 Cookie，並以已登入的身分向其他網站傳送請求。Apple 在 iOS 與 iPadOS 26.5.2 中修復了此連鎖核心的 use‑after‑free，並將此修復歸功於「Milad Nasr、Nicholas Carlini 以及 Claude、Anthropic」。

Windows 連鎖擁有獨立的檔案證據，且也是最窄的。它是一種拒絕服務攻擊：少量網路封包會使機器崩潰，重複這些封包可持續讓系統癱瘓，但不會執行程式碼或竊取資料。Anthropic 將此漏洞描述為 Windows 核心 QUIC 處理中的越界讀取。

它所指向的漏洞公開紀錄 CVE-2026-33096 以 HTTP.sys（Windows 內建的網路請求處理程式）為名，並給予 10 分中的 7.5 分。沒有開源專案將這兩個描述連結為同一元件。CVE 記錄未列出發現者，因而 Anthropic 的作者權歸其自身文章。

截至十月底，美國政府的漏洞豐富化資料將此缺陷標記為未被利用，且未列入 CISA 已知被利用漏洞目錄。

Linux 連鎖在影響力上最嚴重：它能在無登入的情況下透過網路以 root 身份執行指令。此漏洞需要目標伺服器執行多路徑 TCP 監聽器。模型首先洩露一個核心記憶體位址以繞過稱為 KASLR 的防禦，接著重複使用同一個競態條件漏洞將程式重導至攻擊者已放置的程式碼，進而取得 root shell。

Anthropic 表示其概念驗證在洩露位址上耗時 48 分鐘，額外 5 分鐘即可取得 shell，且失敗嘗試不會導致系統崩潰，攻擊者可持續重試。

該公司將此連鎖與 CVE-2026-98432 相關聯，該漏洞為核心 use‑after‑free，評分 9.8，於 10 月 15 日在上游修補；該 CVE 的公開紀錄描述的是 IPv4 TCP 的修復，而非多路徑 TCP，兩者僅由 Anthropic 的文章相連。

Anthropic 將此工作定位為協助防禦者。它表示已依照協調披露政策報告每項漏洞，該政策給開發者 90 天修補時間，並再額外 45 天才會公開除公告以外的細節；並將安全團隊指向其擴充的 Cyber Verification Program，該計畫讓經過審核的專業人士可使用 Claude Opus 5.5、Sonnet 5.5 與 Mythos 5.1。

公司發布此資訊的理由在其自己的話中說：「現在，這是模型能在極少人為介入下完成的事情，並且透過產生可執行的實作漏洞證明任何人都能執行。」

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，閱讀更多我們發布的獨家內容。