10 月 27 日，Anthropic 发布前沿安全研究报告，展示未公开的内部 Claude 研究模型的实战攻防能力。研究人员仅提供初始提示，模型便自主定位漏洞、编写利用代码并构造攻击链，在 Chrome、Safari、Android、Windows 与 Linux 五大平台产出 5 条可实际运行的攻击链。

Chrome 平台累计提交 62 个严重或高危 CVE，含 13 个沙箱逃逸与 21 个可控制渲染进程的漏洞，修复已随 Chrome 156 发布。Safari 漏洞链可绕过同源策略，读取已登录站点的 Cookie 及邮件、银行等敏感数据；Android 攻击需物理接触，可在 Pixel 9 锁屏状态下经 USB 提取照片。

最受服务器运维团队关注的 Linux 案例中，模型在内核网络栈发现零点击远程代码执行漏洞 CVE-2026-98432，针对运行多路径 TCP 监听器的服务器，攻击者发送特制数据包即可在无凭据情况下获得 root shell，验证全程耗时 53 分钟，其中 48 分钟泄露内核指针、5 分钟执行命令。Windows 方面的 CVE-2026-33096 可远程令 HTTP/3 服务器反复崩溃，微软已于 4 月修复。

上述漏洞均已协调披露并修复，成果来自实验室受控测试。对企业 IT 的启示有二：AI 漏洞挖掘已进入实战化阶段，攻防自动化差距正在拉开；运行多路径 TCP 与暴露 HTTP/3 的存量系统应尽快核对补丁版本，把例行升级纳入常态化安全流程。

来源：凤凰网科技（原文链接）