一个只点了一次链接的浏览器
一台 macOS，一个默认设置的 Chrome，用户打开了一个网页。几秒钟后，计算器自己弹了出来。
没有下载，没有确认，没有第二次点击。这个弹窗的意义和它看起来一样朴素：浏览器沙箱外面，有人以这个用户的身份执行了代码。
这是 Anthropic Frontier Red Team 在 2026 年 10 月 27 日发布的一份研究报告里的第一个概念验证。整条链走了四步：先在 Chrome 的 JavaScript 引擎 V8 里破坏堆内存；再用第二个洞跳出 V8 的内存区域沙箱、击败 ASLR，用一条 ROP 链接管住渲染进程；接着利用 CacheStorage 的一个竞态条件读到沙箱外的内存，摸清更高权限的浏览器进程布局；最后靠 FedCM（Chrome 的联合登录功能）里的一处 use-after-free，把代码执行送出沙箱。
四步，每一步都是独立存在的薄弱点。Google 已经为此分配并修复了 62 个 CVE，全部评级为 critical 或 high，其中 13 个是沙箱逃逸、21 个可用于攻破渲染进程，修复落在 Chrome 156。Chrome 自己的发布说明里有一行致谢写着”Xinyang Ge of Anthropic, assisted by Claude”——不过这只覆盖了 62 个中的一部分。
真正值得琢磨的不是这个数字，是这四步是怎么被想出来的。
被自动化的不是”找 bug”，是”串链”
单个 bug 从来不是稀缺品。任何一个大型项目的安全公告，一版就是几十上百条。稀缺的是另一件事：把三四个”各自看都不算致命”的弱点，按顺序拼成一条能走通的路。
这件事过去是少数专家团队的活。Anthropic 在自己的报告里就是这么说的——这些技能”historically been the domain of few specialist teams with expertise in these targets”。而链式利用之所以难，不是因为每一步难，是因为你得同时记住四层的防御假设，并且精确地知道哪一层会在哪一步失效。
Safari 那条链把这件事讲得最清楚。它从头到尾没有执行过一行代码，是一次纯数据攻击：先拿 JavaScriptCore 的一个 use-after-free 换来任意读写能力，绕过 WebKit 的 Gigacage 隔离，再利用沙箱 IPC 的缺陷从磁盘上读到历史记录、cookie 和会话数据库，最后改写内存里的三个值——一个安全标志、一个对象大小、一个 URL——把同源策略关掉。
关掉之后，一个恶意页面就能读你登录着的邮箱，或者你登录着的银行。
Anthropic 在报告里补了一句容易被略过的观察：这条链里的若干环节”not vulnerabilities on their own but intended behaviors that become exploitable when combined”。单独看，它们是设计。串起来，它们是漏洞。
这句话才是整份报告的重心。因为”把设计串成漏洞”这件事，靠的不是暴力枚举，是对系统层次的理解——而这个，恰好是这一代模型最擅长、也最容易被低估的能力。
同一家公司，左手 90 天，右手 60 分钟
报告里藏着一个不自知的矛盾。
Anthropic 明确写了它遵循的协调披露流程：给厂商 90 天打补丁，再过 45 天，才讨论超出公开公告范围的细节。这是一套很体面的规矩，也是行业主流做法。
但同一家公司在今年 6 月发布的另一份研究，把这套规矩的前提直接掀了。那份研究叫 Measuring LLMs’ impact on N-day exploits，做的事情很直接：把公开的补丁 diff 喂给模型，看它多久能把补丁变成能跑的攻击。
结果是一串很难装作没看见的数字：
- 18 个 Firefox SpiderMonkey 的补丁，Mythos Preview 为其中 14 个写出了可用的 PoC。第一个在 12 分钟左右，13 个在 40 分钟内。
- 更关键的一步：它写出第一个完整可用 exploit，是在 Mozilla 发布补丁后不到一小时——而打了补丁的 Firefox 148 还要 18 天才发布给用户。
- 换成闭源的 Windows 内核，21 个提权漏洞，18 个在 6 小时内拿到 PoC，API 成本约 2,200 美元；8 条完整的提权链（打穿到 SYSTEM），总共约 15,700 美元，平均一条不到 2,000 美元。
- 微软自己把其中 14 个标成”不太可能被利用”或”不可能被利用”。模型攻下了 13 个，其中一个是被标为”不太可能”还做成了完整提权链。
最后这条比前面所有数字都重要。厂商的利用可能性评级，是按人类研究者的产能校准出来的：一个洞需要资深研究员两周才能武器化，那它确实”不太可能被利用”。现在校准对象变了，刻度却还没换。一个写着”Exploitation Unlikely”的洞，在一个小时之内被人用几千美元验证成了 SYSTEM，这不叫模型作弊，叫刻度失效。
而防御侧的时钟还是老刻度。Anthropic 在同一份研究里引用：即便是微软自己的 Windows Autopatch，补丁到达 90% 的注册设备需要 7 天，强制重启需要 11 天。
攻击者按小时算，防御者按周算。这不是一个能靠”再努力一点”抹平的差距。
这不是实验室里的假设，是账本上的数字
如果上面这些都还只是 Anthropic 一家的自述，下面这组数字来自完全独立的口径。
Verizon 2026 年数据泄露调查报告（覆盖 2024 年 11 月至 2025 年 10 月、超过 22,000 起确认泄露）里，有一个十九年来第一次发生的变化：漏洞利用超过凭证滥用，成为最主要的初始入侵途径，占 31%，而凭证滥用降到 13%。
同一份报告里，修复侧的数据是往反方向走的：CISA KEV 目录里（也就是那些已经确认在野被利用的漏洞）只有 26% 被组织完全修复，前一年是 38%；完全修复的中位时间从 32 天拉长到 43 天。
换句话说：攻击者在赢，赢的不是发现能力，是那份”所有人都下载得到、但没人打完”的清单。
Cogent Security 在 2026 年 5 月发布的研究给了时间维度的佐证：分析 69,159 个 CVE 后发现，从披露到出现可用 exploit 的平均时间，从 2025 年 1 月的 125.3 天压到 2026 年 4 月的 0.5 天。同一份研究还指出，55.7% 的关键 CVE 从未拿到主流扫描器的检测签名，而在那些有签名的里面，62% 是 exploit 先流传、签名后到。
学术界这条线的起点更早。2024 年 4 月，伊利诺伊大学厄巴纳-香槟分校的 Fang、Bindu、Gupta 和 Kang 那篇论文给出的结论，今天读起来像预言：给 GPT-4 一个 CVE 描述，它能自主利用 15 个真实一日漏洞中的 87%；不给描述，成功率掉到 7%。当时作者的安慰是”幸好它还需要描述”。
两年半之后，这个安慰已经不成立——补丁 diff 本身就是最好的描述。
监管也转了向。2026 年 6 月 10 日，CISA 发布 BOD 26-04，废止了 BOD 22-01 那套”按日历给 KEV 打补丁”的死线，改为按四个变量判定风险：资产是否暴露于公网、是否在 KEV 目录、利用能否自动化、利用后能拿到多少控制权。最严一档要求 3 天内完成修复或缓解，并做取证排查。
从”KEV 一律 14 天修完”到”最危险的 3 天内处置”，这不是单纯收紧，是承认按日历切分的时间线从来就不是为这个时代设计的。
这份报告里，有多少是你自己能查的
写到这里必须踩一脚刹车。Anthropic 的这份报告值得认真读，但不该整篇照单全收。它有一半是可以自己核的，另一半只能信它。
能核的那半，很硬。 62 个 CVE、Chrome 156 的发布说明、Apple 在 iOS/iPadOS 26.5.2 里对那个 use-after-free 的致谢（署名是”Milad Nasr and Nicholas Carlini with Claude, Anthropic”）、以及各家补丁的版本号——这些都在厂商自己的公开记录里，任何人都能查。Windows 那条的发现方式也写得具体：给模型一份 Windows 可执行文件，让它用 Ghidra 逆向、写出带注释的 C 复现程序、比对行为确认正确性，再从代码里找问题。这个流程是可复现的。
不能核的那半，有三处对不上。
第一，Windows 那个洞。Anthropic 描述为”Windows 内核 QUIC 实现里的越界读”；而它给出的 CVE-2026-33096 的公开记录写的是 HTTP.sys，CVSS 7.5，且记录里没有署任何发现者。没有任何公开资料能证明这两处描述是同一个组件。截至 10 月底，美国政府的漏洞数据把它标为”未被实际利用”，它也不在 CISA 的 KEV 目录里。
第二，Linux 那个洞。Anthropic 说的是 multipath TCP 监听器；CVE-2026-98432 的公开记录描述的是 IPv4 TCP 的一处 use-after-free，评分 9.8，10 月 15 日修复。两者之间的联系，只有 Anthropic 自己这篇文章。
第三，也是最关键的：模型是匿名的，”人在环里”没有拆账。五个攻击链的每一段都以同一句”After initial prompting”开头——这个 prompt 有多少字？中途人插手了几次？每一步是人给的提示还是模型自己想的？报告没说。The Hacker News 在报道里直接点破了这一点：能验证的是补丁和厂商致谢，验证不了的是每一条链里模型自己完成了多少。
结论不是”这份报告不可信”，而是：该信的是可复核的那半（CVE、补丁版本、厂商致谢），该打问号的是”little human involvement”这个形容词。 一个未命名模型的自主程度，本质上是发布方的自述。
这条标准值得推广。以后谁再发”AI 挖到了洞”，问四个问题：CVE 编号给了吗？补丁版本给了吗？厂商有没有公开致谢？人在环里占多少比重？答不上来三条的，当营销看。
那到底该改什么
我的立场是：该改的不是补丁打得更快，是”打补丁”这个动作在防御体系里的位置。
第一，补丁要从”控制手段”降级为”收尾动作”。Verizon 的数据说明修复能力是有天花板的：按报告自己的说法，进入其修复数据集的漏洞记录自 2022 年以来涨了近八倍，中位组织今年要修的关键漏洞比去年多出 50%，而完全修复率反而从 38% 掉到 26%。既然速度有天花板，真正还剩的自由度就是选择：先修哪个。而选择的依据不该是 CVSS 分数，应该是”这个资产暴露在哪、AI 多快能把它串成一条链”。CISA 把 KEV 从唯一标准降成四个变量之一，方向是对的。
第二，所有按人类产能校准的刻度都要重标。厂商的”Exploitation Unlikely”、CVSS 里那些依赖”利用复杂度”的评分项、内部风险矩阵里”需要有经验的攻击者”这种假设——它们共同的前提是”武器化很贵”。这个前提今年已经过期了。
第三，把暴露面收敛放到补丁前面。你没法给看不见的东西打补丁，也没法给看不见的东西做优先级。在 AI 把”发现—武器化”压到小时级别之后，唯一还能按天甚至按周从容推进、且真的能降低风险的，是减少那些本来就不需要暴露在互联网上的东西。
回到开头那个弹出的计算器。它证明的不是”AI 会挖洞了”——挖洞早就是半自动的活。它证明的是：从补丁落地到武器可用之间的那段缓冲，正在从”几个月”变成”几十分钟”。
而 90 天披露窗口、月度补丁周期、按 CVSS 排序的待办清单——这三样东西，全都是建立在”那段缓冲足够长”这个前提上的。
Anthropic 在自己的报告里写，它给厂商 90 天。这个数字当年被设计出来，是为了给人类研究者留出体面的时间。现在它保护的是别人的节奏。
参考与延伸
- Anthropic Frontier Red Team（2026-10-27）：Discovering and exploiting vulnerabilities in critical, real-world software with Claude — https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
- Anthropic（2026-06）：Measuring LLMs’ impact on N-day exploits — https://www.anthropic.com/research/n-days
- The Hacker News（2026-10-28）报道，含五条链的对照表与 CVE 记录核对 — https://thehackernews.com/2026/10/anthropics-unreleased-ai-model-chains.html
- Fang, Bindu, Gupta, Kang（UIUC, 2024-04）：LLM Agents can Autonomously Exploit One-day Vulnerabilities — https://arxiv.org/abs/2404.08144
- Verizon 2026 Data Breach Investigations Report（31% / 26% / 43 天）
- Cogent Security, The Detection Gap: How Exploits are Outpacing Scanners（2026-05，Dark Reading 报道）
- CISA Binding Operational Directive 26-04（2026-06-10）
说明：文中 Windows 与 Linux 两条链的 CVE 编号与其公开记录存在描述差异（HTTP.sys vs 内核 QUIC；IPv4 TCP vs multipath TCP），本文已分别标注，两者的对应关系目前只有 Anthropic 自家文章作为依据。报告中提到的模型为未发布的内部研究模型，其”低人工介入”程度属发布方自述，未能独立核实。