在过去几个月里，我们使用一个未发布的内部研究模型来 发现关键漏洞 ，涉及一些全球使用最广泛的软件，如浏览器和操作系统。在本文中，我们分享了五条攻击链的细节，这些攻击链在几乎没有或完全没有用户交互的情况下实现了远程代码执行及其他严重影响。这些攻击链展示了该模型在开源和专有软件中创建复杂多步骤利用程序的能力。这些产品中的任何漏洞都可能影响数十亿用户。它们也是世界上安全最关键的软件之一，因此是测试模型漏洞研究和网络能力的风向标。
我们已按照 协同漏洞披露的流程将每个漏洞报告给受影响的供应商，该流程给予开发者 90 天时间进行修补，并在公开公告已包含内容之外的细节讨论之前另有 45 天时间。
1. Chrome 中的一键远程代码执行
在初步提示后，Claude 编写了一个完整的利用链，使攻击者能够在浏览器沙箱之外以用户身份执行任意代码。我们的概念验证可以在 macOS 上从默认配置的原版 Chrome 浏览器中，在页面加载后的几秒内启动计算器应用，无需任何 further 用户交互：
- Claude 发现了 Chrome 的 JavaScript 引擎 V8 中的一个漏洞，该漏洞允许恶意网页破坏 V8 的堆内存。
- Claude 发现了第二个漏洞，用于突破 V8 的内存区域沙箱并击败 ASLR。这一步骤在内存中定位了 Chrome 的代码，并使用面向返回的编程（ROP）链完全控制了渲染器进程。
- 被攻陷的渲染器受到 Chrome 进程沙箱的限制。随后 Claude 发现了 CacheStorage 中的一个竞态条件。被攻陷的渲染器利用该竞态条件读取沙箱之外的内存，并了解特权浏览器进程的内存布局。
- 最后，Claude 发现了 FedCM（Chrome 的联合登录功能）中的一个释放后使用漏洞，使利用程序能够在沙箱外执行任意代码。
我们已向 Google 报告了我们的发现：已分配 62 个 CVE，并且 截至 Chrome 156 均已修补，其中全部被评级为严重或高危。其中包括 13 个沙箱逃逸漏洞和 21 个可能被用于攻陷渲染器的漏洞。
2. Safari 中的一键利用链
在初步提示后，Claude 编写了一条利用链，使任何网站的 JavaScript 都能完全绕过同源策略（SOP）。该利用程序可以访问用户的 Safari 历史记录、Cookie 和其他敏感数据，并且可以向其他域发送经过身份验证的 HTTP 请求并读取响应。例如，如果用户登录了其电子邮箱账户，攻击者现在就可以阅读其邮件；如果用户登录了银行账户，攻击者就可以查看账户余额或尝试转账。
为实现这一点，Claude 突破了 Safari 内置的多层防护：
- Claude 发现了 JavaScriptCore（Safari 的 JavaScript 引擎，用 C++ 编写）中的一个释放后使用（UAF）漏洞。某些 TypedArray 操作通过过期的指针写入已释放的内存，覆盖了 TypedArray 元数据。
- WebKit 的 Gigacage 通过将 TypedArray 数据隔离在单独的内存区域来缓解此类攻击。Claude 发现该区域中的某些变量被用于索引其他区域，这使其获得了 Gigacage 之外的任意读/写原语。
- 所有网站 JavaScript 都在 WebContent 沙箱中运行，该沙箱阻止诸如 UAF 之类的漏洞触及磁盘上的敏感浏览器数据。Claude 发现了该沙箱 IPC 机制中的一个漏洞，使利用程序能够从磁盘读取 Safari 存储的历史记录、Cookie 和会话数据库。
- 最后，Claude 利用 UAF 覆盖内存中的一个变量并禁用 SOP，使攻击者的页面能够读取来自任何其他源的数据。
这条链之所以有趣，是因为它是一种纯数据攻击，从不依赖任意代码执行。相反，它利用对浏览器进程内存的完全读/写访问来修改一个安全标志、一个对象大小和一个 URL。其中几个弱点本身并不构成漏洞，而是组合在一起时才变得可被利用的预期行为。
Apple 在我们提交报告的当天即予以确认，并迅速实施了修复。 该修复 已向用户推出。
3. Android 锁屏绕过
在初步提示后，Claude编写了一个漏洞利用程序，使攻击者能够从一部被盗的Android手机中提取照片和其他个人信息，而无需解锁。这项工作结合了三种方法：对Android开源部分进行源代码分析，对Google Play services二进制文件进行逆向工程和去混淆，以及在物理Google Pixel 9上进行实际测试。这发现了开源和专有组件中的大量漏洞。Claude随后将其中三个漏洞串联成最终的漏洞利用程序。
Android针对这种攻击有多层保护。Claude找到了绕过每一层的方法：
- 锁定的Android手机设计为不通过USB传输数据。Claude发现具有特定设置的USB主机可以绕过这一点。
- 设备间传输协议拒绝来自未授权对等方的数据命令。Claude找到了跳过授权检查并启动配对过程的方法。
- 配对由一种经过认证的密钥协商保护，该协商要求用户验证一个六位数字代码。Claude发现了一个缺陷，可以跳过此验证，表现得好像用户已点击“允许”。
- USB传输本不应携带文件内容，这是由一个硬编码检查强制执行的。Claude发现了一个后备机制，它通过USB发送原始字节且不受该检查约束。该漏洞利用程序通过它请求文件内容。
此问题已由Google修复。
4. Windows远程拒绝服务
在初步提示后，Claude编写了一个漏洞利用程序，本可允许攻击者使用Windows原生实现远程使任何响应HTTP/3请求的Windows机器崩溃。此案的难点在于首先要识别出漏洞本身。在初步提示之后，我们直接向Microsoft报告了此漏洞，微软修复了该漏洞并为其分配了 CVE-2026-33096.
Claude识别出的漏洞是Windows内核QUIC实现中的一个内存安全越界读取问题。攻击者可以通过网络远程访问易受攻击的代码路径，向监听中的服务器发送少量数据包以使机器崩溃并重启。通过反复发送这些请求，可以持续使服务器崩溃，导致所有用户无法访问该服务器。我们估计互联网上可能有数百万个此类监听中的服务器。
Claude通过二进制分析发现了这个漏洞。我们向模型提供了Windows可执行文件的副本，并要求Claude使用现有的逆向工程工具（如Ghidra）对软件的工作方式进行逆向工程，编写一个完整注释的C程序来重现相关功能，将重现的程序与二进制文件的行为进行比较以确保正确性，然后研究代码中的漏洞。当我们要求Claude识别潜在的高风险问题时，它发现了这个可远程利用的漏洞。
5. Linux中的零点击远程代码执行
虽然本文重点介绍第三方产品，但我们在开源方面的工作仍在继续。借助Claude，我们发现了OpenBSD、FreeBSD和Linux上的本地权限提升漏洞；热门沙箱基础设施中的多个沙箱逃逸；以及重要Web应用中的大量漏洞。我们还在Linux内核的网络栈中发现了可远程触发的（零点击）任意代码执行漏洞，这些漏洞此后已在上游修复并公开披露。我们在下面详细描述其中一个例子。
在初步提示后，Claude编写了一个漏洞利用程序，使远程攻击者能够向具有多路径TCP监听器的Linux服务器发送数据包，从而以root身份运行任意命令，无需任何凭据或用户交互。底层漏洞是内核网络栈中一个由竞态条件引起的UAF（释放后使用）缺陷。完整的利用有两个关键阶段：
- 在第一阶段，攻击者远程破解KASLR。它利用竞态使内核读取一个攻击者控制的长度字段以复制额外字节并将其发回给攻击者，只要其中一次过度读取在回复中包含一个内核指针，攻击者就能获知内核地址空间布局。
- 在第二阶段，攻击者劫持控制流。它利用同一个UAF缺陷使缓冲区溢出，并用攻击者已通过普通协议功能植入内核内存中的有效载荷地址覆盖一个回调指针。当内核调用该回调时，有效载荷串联调用一系列现有内核函数，最终以root身份运行攻击者选择的shell命令。
此竞态条件的一个有利特性是，竞态失败只会导致握手失败而不会使整个系统崩溃，因此执着的攻击者可以无限重试直到成功。在我们的概念验证中，泄露一个内核指针需要48分钟，达到shell命令执行还需要五分钟。此漏洞（CVE-2026-98432）已在上游修复，并已向后移植到所有维护中的稳定内核分支。
我们的收获
在整个使用Claude进行这项安全工作的过程中，我们总结出了一些影响我们方法的见解。我们认为其中两点尤为重要。
测试时计算扩展和扫描器多样性显著增加了你发现的漏洞数量。 我们构建了一个平台，可并行运行大量扫描代理，通过每个扫描器为整体贡献的额外漏洞数量来衡量它，并动态跟踪覆盖率，以便扫描器处理整个代码库。
这些策略涵盖从纯粹覆盖(这个函数中是否存在漏洞?)到基于目标(这个应用是否暴露了任何可能危及客户数据的内容?)再到基于威胁模型(这个应用中是否有任何内容绕过了其记录的威胁模型?)。我们还使用 Claude 对每一项已确认的发现运行自动化变体分析。所有发现都通过标准化的验证和风险评级流程,因此我们可以在不降低质量门槛的情况下自由试验新的扫描器。
修复现有积压问题只能解决一半问题;另一半是降低新漏洞进入代码库的速度。 为此,我们建议在 PR 时进行扫描。我们通过一个 Claude Code 插件将安全指导直接内置到开发流程中,该插件已 公开发布.
这对防御者意味着什么
前沿模型有能力发现多个漏洞并将其组合成一个可用的漏洞利用程序。这些技能历来是少数拥有这些目标专业知识的专家团队的领域。现在,模型只需极少的人工参与就能做到这一点,并通过生成一个任何人都可以运行和验证的可用漏洞利用程序来证明这一点。
用强大的模型武装防御者,对于让他们在攻击者之前抢先修补系统至关重要。最近,我们发布了扩展版本的 网络验证计划,该计划为符合条件的安全专业人员提供高级网络能力和更少的拦截分类器。它包括对我们最强大模型的访问权限,包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1,以及未来的其他新模型。我们对防御者的建议保持不变:扫描自己的代码比以往任何时候都更加重要。
作者与致谢
贡献者
尼古拉斯·卡里尼(Nicholas Carlini)、大卫·德沃尔肯(David Dworken)、葛欣阳(Xinyang Ge)、本·莫里斯(Ben Morris)、米拉德·纳斯尔(Milad Nasr)、克里斯·罗尔夫(Chris Rohlf)、露娜·童(Luna Tong)