据IT之家10月29日报道，Anthropic于10月27日发布研究报告，称一个未公开发布的内部Claude研究模型在Chrome、Safari、Android、Windows和Linux中发现漏洞，并将多个漏洞串联为5条可实际运行的攻击链。报道指出，相关漏洞均已按协调披露流程报告厂商并修复。
这次展示的是内部研究模型的漏洞研究能力，而非面向公众开放的新工具。研究团队称，在研究人员给出初始提示后，Claude自主定位漏洞并编写利用代码。5条攻击链涉及数据窃取、系统崩溃和远程控制，但各自依赖的目标环境与触发条件不同。
Chrome方面，Anthropic向谷歌提交的报告共产生62个严重或高危CVE，包括13个沙箱逃逸漏洞和21个可控制网页渲染进程的漏洞，修复已随Chrome 156发布。据报道，其概念验证可在页面加载后数秒内，在macOS默认安装环境中打开计算器应用，展示了从网页到沙箱外执行代码的攻击结果。
另两条攻击链针对浏览器数据隔离与手机锁屏场景。Safari攻击链可绕过同源策略，让恶意网页读取用户已登录账号的数据，苹果已确认并发布修复。Android验证则针对Pixel 9：攻击者需要物理接触设备，通过USB相关缺陷，在锁屏状态下提取照片等个人信息；谷歌称已处理该问题。
Windows案例的结果是服务器崩溃，而非取得系统控制权。编号为CVE-2026-33096的漏洞评分为7.5，位于Windows QUIC内核实现中，可让响应HTTP/3请求的服务器在无需认证或用户交互的情况下崩溃。微软已于2026年4月发布补丁。
Linux案例CVE-2026-98432针对运行多路径TCP监听器的服务器。研究团队称，攻击者可通过发送数据包，在无凭据情况下获得root shell。Anthropic的验证耗时53分钟，其中48分钟用于泄露内核指针，5分钟用于执行命令。这一时间对应其特定环境中的验证过程，适用对象也并非所有Linux设备。