【安全圈】未发布的AI模型，把Chrome到Linux一路打穿|ai模型|chrome|ios|linux|安卓|沙箱|浏览器

关键词

核心事实：Anthropic 的 Frontier Red Team 公布了五条利用链。一个尚未对外发布的内部模型被提示之后，在 Chrome、Safari、Android、Windows、Linux 上找出一批彼此独立的缺陷，再把它们串成能跑通的 PoC。所有漏洞都先报给厂商，目前已全部修复。其中一条在未做改装的 macOS 上跑 Chrome，页面加载后几秒内直接弹出计算器，不需要任何额外点击。

Chrome那条链：四个洞接力，一路走到沙箱外

第一步是 V8 里的内存破坏，也就是 Chrome 的 JavaScript 引擎。恶意页面先在这里拿到执行权。

第二步用另一个缺陷逃出 V8 的堆内存沙箱，接管渲染页面的进程。

第三步是 CacheStorage 特性里的竞态条件。借它读到本不该碰的内存，摸清权限更高的浏览器主进程的内存布局。

第四步是 FedCM 里的 use-after-free。FedCM 就是 Chrome 的登录功能，这个洞让代码在沙箱外落地。

Anthropic 称向 Google 提交了 62 个缺陷，全部拿到 CVE，并在 Chrome 156（10 月 20 日）中修复，评级均为 critical 或 high，其中 13 个是沙箱逃逸。Google 发布说明里的致谢写的是 "Xinyang Ge of Anthropic, assisted by Claude"——注意，不是全部 62 个都点了名。

Safari那条链：一行代码都不执行

这条链不追求代码执行。它拿到的是浏览器内存的完整读写权限，然后改掉一个值，把同源策略关掉。

同源策略一失效，恶意页面就能读用户的历史记录和 cookie，还能以已登录用户的身份向其他站点发请求。邮箱和网银都在射程内。

链条核心是一个 use-after-free，Apple 在 iOS / iPadOS 26.5.2（6 月 29 日）中修掉。致谢写的是 "Milad Nasr and Nicholas Carlini with Claude, Anthropic"。

Android那条：锁屏手机的照片

前提是物理接触设备，通过 USB 连接。成果是从一台已锁屏的被盗手机里拷走照片和其他数据。

Anthropic 说 Google 已经修复。这条找不到对应的公开记录，是五条链里证据最薄的一环。

⚠️ Windows那条：唯一有独立记录，也是最窄的一条

只有拒绝服务。几个网络包打崩机器，重复发送就能让它一直宕着。不执行代码，不偷数据，也不能横向移动。

Anthropic 说这个缺陷是 Windows 内核 QUIC 处理中的越界读。公开记录对不上：CVE-2026-33096记的是 HTTP.sys，也就是 Windows 内置的 Web 请求处理组件，评分 7.5。把两条描述指认为同一个组件，目前只有 Anthropic 自己的文章作依据，而且这条 CVE 记录没有署名发现者。

⚡ Linux那条：影响最重，直接到root

前提是目标服务器跑着 multipath TCP 监听。

模型先泄出一个内核内存地址绕过 KASLR，再复用同一个竞态漏洞，把执行流导向事先放好的代码，拿到 root shell。

Anthropic 说它的 PoC 花 48 分钟泄出地址，再用 5 分钟拿到 shell，失败不会让系统崩溃，攻击者可以一直重试。

对应CVE-2026-98432，内核 use-after-free，9.8 分，10 月 15 日上游修复。这里同样有出入：这条 CVE 的公开记录描述的是 IPv4 TCP 修复，不是 multipath TCP，两者的关联也只由 Anthropic 的文章建立。

️ 哪些能查，哪些只能听他讲

能查
：补丁确实存在。Apple 和 Google 的致谢里确实点了 Anthropic 和 Claude。Chrome 156、iOS / iPadOS 26.5.2、CVE-2026-33096、CVE-2026-98432 都有公开记录。
查不了
：每一步里人到底做了多少。Anthropic 说只需要"初始提示"和"很少的人工介入"，但没有拆解每个环节，也没说用的是哪个模型，只说是未发布的内部研究模型。
难点不在单个洞
：这四个洞单独看只算中高难度。把它们串成一条能落地的链，过去是几家专门团队的活。

✅ 处置进展

全部漏洞按协调披露流程走：给开发者 90 天修复，之后再留 45 天，才讨论公告以外的细节。

Chrome 156、iOS / iPadOS 26.5.2、10 月 15 日的 Linux 内核上游修复，加上 Windows 对应更新，覆盖了文中这五条链。Anthropic 同期扩大了 Cyber Verification Program，通过审核的安全人员可以使用 Claude Opus 5.5、Sonnet 5.5 和 Mythos 5.1。

防守端短期没有新配置项可调。还是那几件事：浏览器和内核补丁跟到最新，别把别的缓解措施当成兜底。