人工智能安全公司 Anthropic 于 10 月 27 日发布研究报告称，其通过一个未公开发布的内部 Claude 研究模型，在 Chrome、Safari、Android、Windows 与 Linux 等主流浏览器与操作系统中发现漏洞，并将多个漏洞串联为 5 条可实际运行的攻击链。相关漏洞均已按协调披露流程报告厂商并修复。

在 Chrome 方面，Anthropic 向谷歌提交的报告中共产生 62 个严重或高危 CVE，其中包括 13 个沙箱逃逸漏洞与 21 个可控制网页渲染进程的漏洞，修复已随 Chrome 156 发布。研究团队表示，Claude 在研究人员给出初始提示后，自主定位漏洞并编写利用代码；其概念验证可在页面加载后数秒内，于 macOS 默认安装环境中打开计算器应用，且无需任何额外用户交互。

Safari 方面，Claude 发现的漏洞链可绕过同源策略，让恶意网站有机会读取用户已登录账号的数据；苹果已在同日确认并发布修复。Android 攻击需物理接触设备，可在 Pixel 9 锁屏状态下通过 USB 提取照片等个人数据，谷歌称已处理该问题。

在 Windows 方面，Claude 发现追踪编号为 CVE-2026-33096 的漏洞，评分为 7.5，攻击者无需认证或用户交互即可让响应 HTTP/3 请求的服务器崩溃；微软已于 2026 年 4 月发布补丁。最严重的是 Linux 漏洞 CVE-2026-98432，针对运行多路径 TCP 监听器的服务器，攻击者发送数据包即可在无凭据情况下获得 root shell。Anthropic 的验证共耗时 53 分钟，其中 48 分钟用于泄露内核指针，5 分钟执行命令。

信息来源

– IT之家：《Claude AI 找漏洞实战：安卓手机锁屏下提取照片、53 分钟攻破 Linux 获取最高权限》 – Anthropic 官方研究博客（2026 年 10 月 27 日）