Anthropic 测试中，未公开的 Claude 模型在 Linux 内核 TCP 握手路径找到释放后使用缺陷，53 分钟产出可用的两阶段远程利用并拿到 Root。看点不是模型会写 Exploit，而是安全研究的验证链条正被压缩，证据等级与工程约束必须跟上。

一个潜伏多年的内核漏洞，被模型从定位、复现一路推进到生成可用利用代码，真正让开发者紧张的不是“模型会不会写 Exploit”，而是安全研究的验证链条正在被压缩。

Anthropic披露的一项内部测试显示，未公开的 Claude 模型发现了 Linux 内核 IPv4 TCP 握手路径中的释放后使用缺陷，并在约 53 分钟内生成了两阶段远程利用程序，最终拿到 Root 权限。Ubuntu 相关版本当时仍未完成修复，这类结果不能直接当成通用攻击工具，却足以改变漏洞响应的时间预算。

从漏洞定位到 Root，模型做了哪些工作

漏洞根源位于 TCP 连接建立过程中的对象生命周期管理。攻击者通过构造异常握手与并发时序，让内核在对象释放后继续访问旧指针。传统分析通常需要研究员先找到可疑路径，再用调试器、模糊测试和手工代码验证。

这次实验更像一个长链路 Agent 任务：先阅读内核源码和提交历史，缩小到网络栈关键函数；接着设计触发条件，编译测试内核并运行复现程序；确认崩溃后，再把越界能力拼接成稳定的权限提升链。53 分钟不是“模型自动攻破所有 Linux”，而是说明具备工具调用、编译和反馈循环的模型，可以把许多原本分散的安全工序串成一条流水线。

为什么安全团队不能只看最终 PoC

安全研究里最容易被忽略的是证据等级。一次运行成功只能证明某个内核配置、编译选项和时间窗口下存在可行路径，不能自动推导出所有发行版都可利用。要把结果交给维护者，至少需要记录：受影响的提交范围、触发条件、稳定复现脚本、所需权限、内存破坏类型，以及修复补丁是否真正阻断了原路径。

模型生成的代码还要经过人工审查。利用链可能夹带未验证的假设，也可能因为环境差异把偶然性误判成稳定性。更合理的做法是让 Agent 输出结构化实验记录，把每一次编译、测试、崩溃和修复前后对比都保存在可追溯日志里。

把 AI 安全研究放进工程流水线

团队可以把模型限制在隔离的内核实验环境中：只提供脱敏源码、快照虚拟机和无外网网络；所有命令经过白名单代理；生成的 Exploit 只能对本地靶机执行；每个实验都写入提交哈希、配置文件和随机种子。这样既能让模型快速迭代，也能避免研究代码误触生产系统。

评估指标也应从“是否找到漏洞”扩展到“是否完成闭环”：能否稳定复现、能否给出最小补丁、补丁是否通过回归测试、是否产生误报，以及研究结果能否被另一名工程师独立复核。AI 让搜索速度更快，但安全结论仍然需要人类把证据钉牢。

国内开发者如果要把 Claude Code 等工具接入兼容 API，可以通过 Code80(https://code.ai80.vip/home) 配置 endpoint；涉及漏洞复现时，仍应自行隔离密钥、代码和实验网络，并保留完整审计记录。

常见问题

这是否意味着 Claude 可以自动入侵服务器？

不能这样推断。实验针对特定内核路径和隔离环境，结果说明模型能参与高难度安全研究，不等于它拥有通用、稳定的远程入侵能力。

53 分钟包含哪些步骤？

包括源码分析、触发条件设计、编译与运行、漏洞复现以及利用代码迭代。具体耗时会随硬件、内核配置和工具权限变化。

开发团队如何安全地试验这类 Agent？

使用快照虚拟机、无外网网络、命令白名单和一次性凭据；将每次实验的提交哈希、配置和日志保存下来，禁止直接连接生产环境。

生成的 Exploit 可以直接提交给上游吗？

不建议。先由安全研究员确认影响范围、最小复现和修复效果，再按负责任披露流程提交。

国内如何接入模型进行安全研究？

可以通过 Code80 了解兼容 API 接入方式，但源码脱敏、网络隔离、权限审批和日志留存必须由项目侧负责。