53 分钟，从一行提示到 root shell。
Anthropic 在 2026 年 10 月 27 日发布了一份让安全圈侧目的报告：一个未公开的 Claude 内部研究模型，只拿到初始提示，便自行定位漏洞、编写利用代码，在 Chrome、Safari、Android、Windows 与 Linux 上揪出缺陷，并串成 5 条攻击链。漏洞均已通报厂商并修复。
最惊心的是 Linux 案例。模型在内核网络栈里发现一个零点击远程代码执行漏洞（CVE-2026-98432），目标是一台跑多路径 TCP 监听器的服务器——攻击者只发数据包，无需任何凭据就能拿到 root shell。Anthropic 实测整个链条耗时 53 分钟，其中 48 分钟泄露内核指针，剩下 5 分钟执行命令。
这不是“AI 辅助黑客”的模糊预言，而是已经发生的事实。
五条链，五个战场
规模最大的是 Chrome。Claude 提交给谷歌的报告一次性带出 62 个严重或高危 CVE，含 13 个沙箱逃逸与 21 个可用于攻陷渲染进程的漏洞，补丁随 Chrome 156 落地。在默认配置的 macOS Chrome 上，概念验证页面加载数秒便弹出计算器，意味着任意代码已在浏览器沙箱之外运行。
Safari 链绕过同源策略，让恶意网页一次点击就能读走历史记录、Cookie 与登录态下的邮件、银行数据。苹果当日确认并修复。Android 同样离谱：借助 USB 缺陷，攻击者即便面对锁屏的 Pixel 9，也能在物理接触下扒出照片等本地资料。Windows 这边，模型揪出 HTTP/3（QUIC）内核越界读取漏洞（CVE-2026-33096，评分 7.5），可远程打崩服务器，微软 4 月已发补丁。Anthropic 估计，全球有数百万台这样的服务器暴露在互联网上。
这不是辅助，是替代
过去几年，安全圈对 AI 的想象停留在“辅助”：帮分析师读日志、生成补丁建议、解释告警。Anthropic 这次展示的是另一回事：模型自己完成从漏洞研究到利用开发的全流程。
Chrome 链最能说明问题。它不是靠人喂漏洞线索，而是自己走完四跳：先在 V8 引擎里找到堆破坏缺陷，再用第二个漏洞逃逸 V8 内存沙箱并绕过 ASLR，接着用 CacheStorage 竞态条件摸清特权进程布局，最后靠 FedCM 的 use-after-free 跳出沙箱。四步环环相扣，每一步都是传统上需要资深研究员花数周摸索的技术判断。
Safari 链更轻：不执行任意代码，只改内存里的一个安全标志、一个对象大小、一个 URL，同源策略就失效了。这种手术刀式的修改，恰恰是 AI 擅长的模式匹配。
速度被压缩了
53 分钟拿下 Linux 内核 root，这个数字需要拆开看。前 48 分钟花在泄露内核地址、绕过 KASLR 上，这是整个链条最耗时的部分；剩下 5 分钟覆盖回调指针、执行命令。
更关键的是，失败不会让系统崩溃，攻击者可以无限重试。这意味着攻击成本被大幅压低：一次失败只是再来一次，而不是暴露或失去目标。
对防守方而言，这意味着“漏洞披露到武器化”的窗口正在坍塌。过去一个零日漏洞从被发现到被大规模利用，中间隔着利用开发的门槛；现在这个门槛正在被 AI 削平。
为什么是这些目标
五条链的选择很有讲究：浏览器是最大攻击面，操作系统是权限终点，内核是控制顶点。Chrome 62 个 CVE、Safari 同源策略、Android USB、Windows QUIC、Linux MPTCP，覆盖的是全球使用最广的软件栈。
CVE-2026-98432 的 CVSS 评分高达 9.8，几近满分，因为它同时满足远程、无认证、可执行任意代码、影响内核四个条件。Windows 的 CVE-2026-33096 评分 7.5，虽只是拒绝服务，但 Anthropic 估计数百万台 HTTP/3 服务器暴露在外，规模效应放大了威胁。
厂商背书与边界
Google 的 Chrome 发布说明和 Apple 的安全公告都明确致谢 Anthropic 研究人员与 Claude 模型，这是第三方验证。所有漏洞都在发布前修复，且没有证据表明这些利用链已在野外被使用。
但边界同样清晰：这是 Anthropic 内部未公开模型的演示，不是市售 Claude 的能力外泄；链条尚未被外部团队独立端到端复现。它证明的是方向，不是当下的普遍威胁。
修复跑不过发现
比单点漏洞更值得警惕的是整体节奏。Anthropic 的 Glasswing 项目在 2026 年 4 月至 7 月间，通过合作伙伴发现了至少 129,000 个已验证漏洞，其中超过 33,000 个被评为严重或高危；公司自己的开源扫描又在 4 月至 10 月间追加了 5,500 个。Anthropic 坦言这还是低估，因为数据只来自 33 家合作伙伴，真实规模可能至少是五倍。
而修复速度远远跟不上。截至 2026 年 10 月 2 日，维护者只修复了 6,157 个已披露漏洞中的 516 个。发现是批量的，修复是手工的，这个剪刀差正是 AI 放大攻击面最危险的缝隙。
Anthropic 的矛与盾
Anthropic 没有只展示矛。公司同期扩大了 Cyber Verification Program，向受审查的安全团队开放更强的 Claude 访问权限，并发布了面向 Claude Code 的免费安全指引插件。它从这次研究里提炼出两条方法论：并行跑多个扫描 Agent 能找到更多 bug；在代码提交时扫描，避免新缺陷堆进旧 backlog。
这套“以 AI 制衡 AI”的逻辑正在成为行业默认选项。当攻击门槛被削平，防守方唯一现实的应对，是把检测与响应也自动化到同一量级。
补丁速度就是安全边界
更大的图景是，AI 正在把精英红队能力变成可复制的工具。过去只有少数顶尖团队掌握的漏洞挖掘与利用链构造技能，现在只需要一个初始提示。
对企业和开发者来说，结论很直接：补丁速度就是安全边界。Chrome 156、各厂商的稳定内核更新、Windows 4 月补丁，这些都不是可选项。Linux 管理员若暂时无法升级，至少可以通过 sysctl 关闭 MPTCP（net.mptcp.enabled=0）来规避 CVE-2026-98432 的利用路径。
同时，网络层控制、出口流量管控、东西向隔离这些补偿性控制需要提到更高优先级。因为浏览器和内核层的漏洞正在变得更容易被自动化触发，单点防御已经不够，必须假设边界终将被突破。
AI 没有让黑客变多，它只是让黑客的门槛消失了。下一个 53 分钟，可能属于任何人。
快报