AI 下场挖洞，安全圈该慌吗？

Anthropic 说，一个还没发布的 Claude 版本，在 Chrome、Safari、Android、Windows 和 Linux 里找到并串联了多个漏洞。消息一出，不少安全研究员的第一反应不是兴奋，而是心里一沉——AI 挖洞这件事，可能真的到了拐点。我的核心判断是：AI 在漏洞研究里的角色，正从『辅助工具』走向『半独立研究者』，攻防两边的成本结构都会被改写，但恐慌为时尚早。

🚨 一个『未发布』版本，先炸了安全圈

先说事件本身。2025 年 11 月中旬，Anthropic 在官方博客披露：一个尚未对外发布的 Claude 版本，在真实软件中发现了多个此前未知的漏洞，并将它们串联成了可用的攻击链，覆盖 Chrome、Safari、Android、Windows 和 Linux 五大平台。据媒体报道，Anthropic 表示已按协同披露流程通知相关厂商，在厂商完成修复前不会公开漏洞的具体细节与 PoC——这也是为什么截至目前，外界看不到对应的 CVE 编号和技术分析。

换言之，目前可独立验证的信息是『平台范围 + 串联这一事实』，具体的漏洞内容仍掌握在 Anthropic 和各厂商手中。这一点后文还会展开。

注意两个关键词：未发布，和串联。

『未发布』意味着这不是某个对外售卖产品的功能宣传，而更像一次能力展示与技术宣誓——我们在内部已经做到了这个程度。漏洞挖掘天然适合当这块试金石，因为它无法靠背题得分，需要真实的推理、试错与跨领域组合能力。

五大平台的覆盖范围同样关键。它说明这不是在一个靶场环境里刷分，而是面对真实世界攻击面的研究。

产业逻辑层面，这件事的信号意义大于单条漏洞本身：大模型公司第一次成建制地宣告，AI 可以在异构、真实、高防护的环境里做漏洞研究。安全行业的传统假设——『挖洞的核心是人的经验与直觉』——第一次被摆上了台面重新审视。

🔗 单个漏洞不可怕，『链』才可怕

安全行业有句老话：单点漏洞是子弹，链式利用才是杀伤性武器。

现代操作系统的防护体系是纵深防御：浏览器有沙箱，内核有权限隔离，进程之间层层设卡。攻击者拿到一个渲染进程漏洞，通常还远不够——要真正拿下系统，得把漏洞串成一条链：先突破浏览器边界，再逃逸沙箱，最后完成系统提权。每往前走一步，难度都是数量级的上升。

一条典型的链式利用路径大致是这样的：渲染进程漏洞 → 沙箱逃逸 → 内核提权。每一步都依赖不同领域的专业知识，且组合方式几乎没有先例可抄。

过去，能把这样一条链走通的，全球也就是那几十个顶级漏洞研究团队。原因很简单：串联需要的不是单项技能，而是同时精通浏览器内核、操作系统底层、内存破坏利用等多个领域，并在海量噪声里找到那几步『可能的组合』。

而这恰恰是大模型的强项形态——跨领域知识的广度、不知疲倦的假设生成与验证循环。单个深度突破上，人类专家依然是天花板；但在『把碎片拼成链条』这件事上，AI 的规模化优势开始显现。

这就是为什么 Anthropic 特意强调『chained』。发现漏洞是能力，串联漏洞是威胁等级的跃迁。

📊 和以往的 AI 挖洞研究比，这次到底新在哪

Anthropic 不是第一个宣称『AI 找到真实漏洞』的玩家。先摆事实，再谈差异。

其中 Google Big Sleep 的里程碑最值得对照。2024 年 11 月，Project Zero 宣布 Big Sleep 发现了『第一个真实世界漏洞』——SQLite 库中的一个栈缓冲区下溢，Google 当时称这是『AI agent 在广泛使用的真实软件中发现此前未知的可利用内存安全问题的首个公开案例』。到 2025 年 7 月，Big Sleep 又发现了当时正被在野利用的 Chrome V8 漏洞 CVE-2025-6554，Google 随即发布了 Chrome 138.0.7204.96 修复版本。

对照这张表，Anthropic 这次披露的真正增量有三点：

第一，从『专用 agent』到『通用模型本体』。 Big Sleep 是 Project Zero 为漏洞研究定制的工作流系统，由人类研究员圈定目标、划分范围，AI 在框架内迭代。而 Anthropic 披露的是一个未发布的通用前沿模型，据其描述在评估中自主完成了发现与串联——如果属实，这更接近『模型能力本身』而非『工程框架的加成』。当然，这也正是外界最难验证的部分：没有细节，就无法区分是模型能力还是精心的任务编排。

第二，从『单点漏洞』到『跨平台攻击链』。 Big Sleep 在约一年里累计发现的约 20 个漏洞，绝大多数是单个内存安全问题；CVE-2025-6554 虽然被在野利用，但 Google 并未披露它是被 AI 完整串联出来的。而 Anthropic 的核心卖点恰恰是『chained』——跨五个异构平台的链式利用，这在公开记录里是第一次。

第三，也是值得警惕的一点：披露透明度的落差。 Big Sleep 的每个发现都走 Google 标准披露流程，有 CVE 编号、技术细节和时间线可供第三方核查；Anthropic 目前只给了平台清单和定性描述。这不是说 Anthropic 做错了什么——协同披露期间暂缓细节是行业标准做法——但作为读者，我们必须把『已验证事实』和『厂商自述』分开。前者目前只有一条：Anthropic 确实发了这篇博客。漏洞链本身是否如描述般完整，要等厂商修复完成后细节公布，才能盖章。

顺带一提，传统安全厂商的动作也要纳入坐标：微软的安全团队已在 MSRC 博客中披露，其自主 AI agent 在 GRUB2 UEFI 引导加载程序中发现了此前未知的漏洞；而多数传统安全厂商的产品，还停留在『AI 辅助 fuzzing』的层面。可以预见，未来一两年，『模型公司×安全厂商』的深度绑定会密集出现。

模型公司做漏洞挖掘，买的不只是安全，更是信任。政府合同、企业大单、监管审批，全都要求模型足够『可控、可靠』。一个能负责任地在五大平台发现并披露漏洞的模型，本身就是最有说服力的安全能力证明。

⚖️ 攻防天平会倒向哪边

AI 挖洞这件事，最让人焦虑的问题是：它到底是攻击者的红利，还是防御者的福音？

关键在于理解两边的能力结构差异。AI 漏洞研究的能力，恰好落在两个传统领域的交点上：一边是大模型推理能力（跨领域知识广度、自动化假设验证、不知疲倦的规模试错），另一边是传统漏洞研究（逆向与调试经验、利用链构造直觉、负责任的披露流程）。两者交叠的部分——『在真实异构系统里发现并串联漏洞』——正是 Anthropic 这次声称做到的事。

我的判断是：短期利好攻击面模拟和自动化审计，中期利好防御方，但过渡期最危险。

逻辑推演如下。短期，AI 会快速拉低『发现漏洞』的边际成本，大量此前无人问津的攻击面被系统性扫过，漏洞的产出速率会先于修复能力提升——这是最危险的窗口期。中期，一旦头部厂商把 AI 挖洞能力整合进开发流程——每次代码提交后自动跑跨平台漏洞链推演——防御方反而第一次获得了『在攻击者之前穷举攻击面』的能力。这是纵深防御体系几十年来梦寐以求的东西。

Big Sleep 的实践已经给了一个参照：它的发现同样开始覆盖『正在被在野利用』的漏洞（CVE-2025-6554 即为一例），意味着 AI 不只是找冷门 bug 的玩具，而是能踩进攻防对抗最激烈的前线。