Anthropic affirme qu'un modèle Claude non publié a construit des chaînes d'exploitation fonctionnelles dans des logiciels majeurs

La Frontier Red Team d'Anthropic a publié des travaux montrant qu'un modèle d'IA interne non publié a trouvé des failles de sécurité dans Chrome, Safari, Android, Windows et Linux, puis les a enchaînées pour en faire des preuves de concept d'exploitation fonctionnelles. L'entreprise affirme que ces attaques pouvaient aboutir à une exécution de code à distance et à d'autres conséquences graves avec peu ou pas d'interaction de l'utilisateur. Elle précise que le travail n'a demandé qu'un « prompt initial » et « peu d'intervention humaine ».

Les exploits ont été construits en laboratoire, après avoir soumis le modèle à des prompts. Ils n'ont pas été observés dans une attaque réelle. Anthropic indique avoir signalé chaque faille au fournisseur en premier, et que toutes sont corrigées. L'entreprise dit avoir suivi une divulgation coordonnée des vulnérabilités et renvoie à son Cyber Verification Program, qui aide les défenseurs à trouver et corriger les faiblesses avant que des attaquants ne les exploitent.

Chrome et Safari

Dans Chrome, le modèle a utilisé quatre failles à la suite : une corruption de mémoire dans V8, une deuxième faille qui permettait de sortir du bac à sable mémoire de V8, une condition de course dans CacheStorage, et un use-after-free dans FedCM qui exécutait du code hors du bac à sable. La preuve de concept d'Anthropic lançait l'application Calculatrice sur un Mac équipé de Chrome par défaut, quelques secondes après le chargement d'une page et sans autre interaction.

Anthropic dit avoir signalé 62 failles à Google ; elles ont reçu des CVE et étaient corrigées à partir de Chrome 156. Toutes étaient classées critiques ou élevées, dont 13 évasions de bac à sable et 21 failles permettant de compromettre le processus de rendu. Les notes de version de Google créditent « Xinyang Ge of Anthropic, assisted by Claude » pour certaines corrections de Chrome, mais pas pour les 62.

La chaîne Safari n'exécutait pas de code. Elle obtenait un accès complet en lecture et en écriture à la mémoire du navigateur, puis modifiait une seule valeur pour désactiver la politique de même origine, qui empêche un site de lire les données d'un autre. Cela pouvait exposer l'historique de navigation, les cookies et les sessions authentifiées. Apple a corrigé le use-after-free au centre de la chaîne dans iOS et iPadOS 26.5.2 et crédite « Milad Nasr and Nicholas Carlini with Claude, Anthropic ».

Android et Windows

Sur Android, le modèle a combiné des faiblesses dans des composants open source d'Android et dans les services propriétaires Google Play, en s'appuyant sur l'analyse de code, l'ingénierie inverse et des tests sur un Pixel 9. La chaîne pouvait extraire des photos et d'autres informations personnelles d'un téléphone verrouillé via USB. Google a traité le problème, selon Anthropic.

La chaîne Windows est un déni de service : quelques paquets réseau font planter la machine, et les répéter la maintiennent hors service, mais elle n'exécute pas de code et ne vole pas de données. Anthropic décrit la faille comme une lecture hors limites dans la gestion QUIC du noyau Windows. Anthropic affirme que Microsoft a corrigé le problème et attribué CVE-2026-33096. L'enregistrement public de cette CVE mentionne pourtant HTTP.sys, le gestionnaire de requêtes web intégré à Windows, et la note 7,5 sur 10. Aucune source ouverte ne relie ces deux descriptions au même composant. L'enregistrement CVE ne crédite aucun découvreur, si bien que la paternité d'Anthropic sur cette faille ne repose que sur son propre article. Fin octobre, l'enrichissement des vulnérabilités du gouvernement américain marquait la faille comme non exploitée, et elle ne figurait pas dans le catalogue CISA des bugs connus comme exploités.

Accès root sous Linux

La découverte Linux est la plus grave en termes d'impact : elle exécute des commandes en root sur le réseau, sans connexion. Il faut que le serveur cible fasse tourner un écouteur multipath TCP. MPTCP est optionnel : les applications doivent le demander explicitement à la création des sockets, même si eBPF et d'autres techniques de configuration peuvent forcer les applications à l'utiliser.

Anthropic rattache la chaîne à CVE-2026-98432, un use-after-free du noyau noté 9,8 et corrigé en amont le 15 octobre. L'enregistrement public de cette CVE décrit une correction TCP IPv4, pas une correction multipath TCP, et seule la publication d'Anthropic relie les deux. La faille touche huit branches du noyau, jusqu'à la version 4.4, avec des correctifs en 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3-rc7.

Anthropic indique que sa preuve de concept a mis 48 minutes à fuiter une adresse du noyau et cinq de plus à obtenir un shell root, soit environ 53 minutes au total. Une tentative ratée ne fait pas planter le système, selon l'entreprise, si bien qu'un attaquant peut réessayer. Ubuntu et Red Hat Enterprise Linux n'avaient pas encore publié de noyaux corrigés au 30 octobre. Debian, Oracle Linux, SUSE et Amazon Linux disposaient de paquets de noyau corrigés pour au moins certaines versions. Les administrateurs doivent vérifier les versions du noyau, appliquer les mises à jour et déterminer si leurs systèmes exposent des écouteurs MPTCP.

Découverte contre correction

Anthropic soutient que les modèles de pointe peuvent désormais découvrir plusieurs vulnérabilités et les combiner en un exploit fonctionnel, un travail qui appartenait auparavant à quelques équipes spécialisées. Le plus difficile vient après. Les chercheurs doivent vérifier les résultats, les développeurs préparer les correctifs, et les administrateurs déployer les patchs sur des milliers de systèmes potentiels.

OpenAI a déclaré le mois dernier que son modèle GPT-5.6-Cyber non publié avait mis au jour des centaines de vulnérabilités, dont des failles dans le moteur JavaScript V8 de Chrome, un système d'exploitation mobile, une base de données et un noyau de système d'exploitation. Des experts en sécurité avertissent que l'IA pourrait accélérer la découverte de vulnérabilités au-delà du rythme auquel les organisations peuvent enquêter et corriger.

Ce qu'un lecteur ne peut pas vérifier, c'est la part de chaque chaîne que le modèle a construite seul. Anthropic ne détaille pas ce qu'une personne a fait à chaque étape, et ne nomme pas le modèle au-delà de la mention d'un modèle de recherche interne non publié. L'affirmation la plus forte n'est pas tel ou tel bug, mais qu'un seul modèle a trouvé plusieurs failles distinctes et les a combinées en un exploit fonctionnel. Cette affirmation repose sur le récit d'Anthropic. Les correctifs, et le fait qu'Apple et Google créditent Anthropic et son modèle Claude pour des corrections précises, peuvent être vérifiés auprès des fournisseurs.