Anthropic: Unveröffentlichtes Claude-Modell baute funktionierende Exploit-Ketten in großer Software

Das Frontier Red Team von Anthropic hat Forschung veröffentlicht, nach der ein unveröffentlichtes internes KI-Modell Sicherheitslücken in Chrome, Safari, Android, Windows und Linux fand und sie zu funktionierenden Proof-of-Concept-Exploits verkettete. Die Angriffe konnten laut dem Unternehmen Remote Code Execution und andere schwerwiegende Folgen erreichen, mit wenig oder gar keiner Interaktion des Nutzers. Nötig gewesen seien nur ein "initialer Prompt" und "wenig menschliche Beteiligung".

Die Exploits entstanden im Labor, nachdem das Modell einen Prompt erhalten hatte. In einem echten Angriff sind sie nicht aufgetreten. Anthropic hat nach eigenen Angaben jede Lücke zuerst dem Hersteller gemeldet, alle sind geschlossen. Das Unternehmen verweist auf die koordinierte Offenlegung von Schwachstellen und auf sein Cyber Verification Program, das Verteidiger dabei unterstützt, Schwachstellen zu finden und zu beheben, bevor Angreifer sie ausnutzen.

Chrome und Safari

In Chrome nutzte das Modell vier Lücken nacheinander: eine Speicherkorruption in V8, eine zweite Lücke, die aus der Speicher-Sandbox von V8 ausbrach, eine Race Condition in CacheStorage und einen Use-after-free in FedCM, der Code außerhalb der Sandbox ausführte. Der Proof of Concept von Anthropic startete die Calculator-App auf einem Mac mit Standard-Chrome innerhalb von Sekunden nach dem Laden einer Seite, ohne weitere Interaktion des Nutzers.

Anthropic hat nach eigenen Angaben 62 Lücken an Google gemeldet; sie erhielten CVE-Nummern und waren mit Chrome 156 behoben. Alle wurden als kritisch oder hoch eingestuft, darunter 13 Sandbox-Ausbrüche und 21 Lücken, mit denen sich der Renderer-Prozess kompromittieren lässt. In den Release Notes von Google werden für einzelne Chrome-Korrekturen "Xinyang Ge of Anthropic, assisted by Claude" genannt, nicht für alle 62.

Die Safari-Kette führte keinen Code aus. Sie erlangte vollständigen Lese- und Schreibzugriff auf den Browserspeicher und änderte dann einen einzelnen Wert, um die Same-Origin-Policy abzuschalten, die verhindert, dass eine Website die Daten einer anderen liest. Damit ließen sich Verlauf, Cookies und authentifizierte Sitzungen offenlegen. Apple hat den Use-after-free im Zentrum der Kette in iOS und iPadOS 26.5.2 behoben und nennt "Milad Nasr and Nicholas Carlini with Claude, Anthropic".

Android und Windows

Unter Android kombinierte das Modell Schwächen in Open-Source-Komponenten von Android und in den proprietären Google Play Services, mithilfe von Codeanalyse, Reverse Engineering und Tests auf einem Pixel 9. Die Kette konnte Fotos und andere persönliche Daten von einem gesperrten Telefon über USB auslesen. Google hat das Problem laut Anthropic behoben.

Die Windows-Kette ist ein Denial of Service: wenige Netzwerkpakete bringen die Maschine zum Absturz, und wiederholte Pakete halten sie unten. Code führt sie nicht aus, Daten stiehlt sie nicht. Anthropic beschreibt die Lücke als Out-of-bounds Read in der QUIC-Verarbeitung des Windows-Kernels. Microsoft hat das Problem nach Angaben von Anthropic behoben und CVE-2026-33096 vergeben. Der öffentliche Eintrag zu dieser CVE nennt stattdessen HTTP.sys, den eingebauten Webserver von Windows, und bewertet die Lücke mit 7.5 von 10. Keine offene Quelle verbindet diese beiden Beschreibungen zu derselben Komponente. Der CVE-Eintrag nennt keinen Finder, die Urheberschaft von Anthropic stützt sich also allein auf den eigenen Beitrag. Ende Oktober führte die Anreicherung der US-Regierung die Lücke als nicht ausgenutzt, im CISA-Katalog bekannter ausgenutzter Schwachstellen stand sie nicht.

Root-Zugriff unter Linux

Der Linux-Fund ist der schwerwiegendste, was die Auswirkung angeht: Er führt Befehle als root über das Netzwerk aus, ohne Anmeldung. Voraussetzung ist, dass auf dem Zielserver ein Multipath-TCP-Listener läuft. MPTCP ist optional: Anwendungen müssen es beim Anlegen von Sockets ausdrücklich anfordern, eBPF und andere Konfigurationstechniken können Anwendungen jedoch dazu zwingen.

Anthropic ordnet die Kette CVE-2026-98432 zu, einem Use-after-free im Kernel mit der Bewertung 9.8, das am 15. Oktober upstream behoben wurde. Der öffentliche Eintrag zu dieser CVE beschreibt eine Korrektur für IPv4-TCP und nicht für Multipath TCP; verbunden sind beide nur durch den Beitrag von Anthropic. Die Lücke betrifft acht Kernel-Zweige bis zurück zu Version 4.4, Korrekturen gibt es in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7.

Der Proof of Concept von Anthropic brauchte nach Unternehmensangaben 48 Minuten, um eine Kernel-Adresse zu leaken, und fünf weitere bis zu einer Root-Shell, insgesamt etwa 53 Minuten. Ein fehlgeschlagener Versuch bringt das System nicht zum Absturz, ein Angreifer kann es also weiter versuchen. Ubuntu und Red Hat Enterprise Linux hatten Stand 30. Oktober noch keine gepatchten Kernel veröffentlicht. Debian, Oracle Linux, SUSE und Amazon Linux hatten für mindestens einige Releases korrigierte Kernel-Pakete. Administratoren sollten Kernel-Versionen prüfen, Updates einspielen und bewerten, ob ihre Systeme MPTCP-Listener nach außen anbieten.

Entdecken und Patchen

Anthropic argumentiert, Frontier-Modelle könnten inzwischen mehrere Schwachstellen finden und zu einem funktionierenden Exploit verbinden, eine Arbeit, die früher wenigen Spezialteams vorbehalten war. Der schwierigere Teil kommt danach. Forscher müssen Befunde prüfen, Entwickler Korrekturen vorbereiten, Administratoren Patches auf potenziell Tausende Systeme verteilen.

OpenAI hat im vergangenen Monat mitgeteilt, sein unveröffentlichtes Modell GPT-5.6-Cyber habe Hunderte Schwachstellen aufgedeckt, darunter Lücken in der JavaScript-Engine V8 von Chrome, in einem mobilen Betriebssystem, in einer Datenbank und in einem Betriebssystem-Kernel. Sicherheitsexperten warnen, KI könne das Auffinden von Schwachstellen schneller vorantreiben, als Organisationen Probleme untersuchen und beheben können.

Was ein Leser nicht überprüfen kann, ist der Anteil, den das Modell an jeder Kette selbst gebaut hat. Anthropic schlüsselt nicht auf, was ein Mensch bei jedem Schritt tat, und nennt das Modell nicht über die Bezeichnung als unveröffentlichtes internes Forschungsmodell hinaus. Die stärkste Aussage ist nicht eine einzelne Lücke, sondern dass ein Modell mehrere getrennte Schwachstellen fand und zu einem funktionierenden Exploit verband. Diese Aussage stützt sich auf den Bericht von Anthropic selbst. Die Patches und die Tatsache, dass Apple und Google Anthropic und dessen Claude-Modell für bestimmte Korrekturen nennen, lassen sich bei den Herstellern prüfen.