Anthropic: un modello Claude non rilasciato ha costruito catene di exploit funzionanti in software diffuso

Il Frontier Red Team di Anthropic ha pubblicato una ricerca: un modello AI interno e non rilasciato ha individuato falle di sicurezza in Chrome, Safari, Android, Windows e Linux e le ha concatenate in proof-of-concept funzionanti. Secondo l'azienda gli attacchi potevano ottenere l'esecuzione di codice da remoto e altri effetti gravi con poca o nessuna interazione dell'utente. È bastato un "prompt iniziale" e "uno scarso intervento umano".

Gli exploit sono stati costruiti in laboratorio, dopo aver dato il prompt al modello. Non sono stati osservati in un attacco reale. Anthropic dice di aver segnalato ogni falla prima al fornitore e che tutte sono state corrette. Sostiene di aver seguito la divulgazione coordinata delle vulnerabilità e cita il proprio Cyber Verification Program, che aiuta i difensori a trovare e correggere i punti deboli prima che gli attaccanti li sfruttino.

Chrome e Safari

In Chrome il modello ha usato quattro falle in sequenza: una corruzione di memoria in V8, una seconda falla che aggirava la sandbox di memoria di V8, una race condition in CacheStorage e un use-after-free in FedCM che eseguiva codice fuori dalla sandbox. Il proof-of-concept di Anthropic apriva l'app Calcolatrice su un Mac con Chrome predefinito entro pochi secondi dal caricamento di una pagina, senza altre azioni dell'utente.

Anthropic dice di aver segnalato 62 falle a Google; sono state associate a CVE e corrette a partire da Chrome 156. Tutte erano classificate critiche o alte, comprese 13 fughe dalla sandbox e 21 falle sfruttabili per compromettere il processo di rendering. Le note di rilascio di Google attribuiscono alcune correzioni specifiche di Chrome a "Xinyang Ge di Anthropic, con l'assistenza di Claude", ma non tutte le 62.

La catena su Safari non eseguiva codice. Otteneva accesso completo in lettura e scrittura alla memoria del browser, poi cambiava un solo valore per disattivare la same-origin policy, che impedisce a un sito di leggere i dati di un altro. Così potevano emergere cronologia di navigazione, cookie e sessioni autenticate. Apple ha corretto l'use-after-free al centro della catena in iOS e iPadOS 26.5.2 e attribuisce il merito a "Milad Nasr e Nicholas Carlini con Claude, Anthropic".

Android e Windows

Su Android il modello ha combinato debolezze nei componenti open source di Android e nei servizi proprietari di Google Play, usando analisi del codice, reverse engineering e test su un Pixel 9. La catena poteva estrarre foto e altre informazioni personali da un telefono bloccato via USB. Secondo Anthropic, Google ha risolto il problema.

La catena su Windows è un attacco di denial of service: pochi pacchetti di rete mandano in crash la macchina e ripeterli la tengono giù, ma non eseguono codice né rubano dati. Anthropic descrive la falla come una lettura fuori dai limiti nella gestione QUIC del kernel di Windows. Anthropic dice che Microsoft ha corretto il problema e assegnato CVE-2026-33096. Il registro pubblico di quel CVE indica invece HTTP.sys, il gestore integrato delle richieste web di Windows, e lo valuta 7.5 su 10. Nessuna fonte aperta collega le due descrizioni allo stesso componente. Il record del CVE non attribuisce la scoperta ad alcuno, quindi la paternità di Anthropic si basa solo sul suo post. A fine ottobre l'arricchimento delle vulnerabilità del governo statunitense segnalava la falla come non sfruttata, e non era nel catalogo CISA dei bug sfruttati noti.

Accesso root su Linux

La scoperta su Linux è la più grave per impatto: esegue comandi come root sulla rete senza login. Richiede che il server bersaglio abbia in ascolto un listener multipath TCP. MPTCP è opzionale: le applicazioni devono richiederlo esplicitamente quando creano i socket, anche se eBPF e altre tecniche di configurazione possono forzarle a usarlo.

Anthropic collega la catena a CVE-2026-98432, un use-after-free del kernel valutato 9.8 e corretto upstream il 15 ottobre. Il registro pubblico di quel CVE descrive una correzione al TCP IPv4, non al multipath TCP, e i due sono legati solo dal post di Anthropic. La falla riguarda otto rami del kernel che risalgono alla versione 4.4, con correzioni in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3-rc7.

Anthropic dice che il suo proof-of-concept ha impiegato 48 minuti per far trapelare un indirizzo del kernel e altri cinque per arrivare a una shell root, circa 53 minuti in tutto. Un tentativo fallito non manda in crash il sistema, secondo l'azienda, quindi un attaccante può riprovare. Al 30 ottobre Ubuntu e Red Hat Enterprise Linux non avevano ancora rilasciato kernel corretti. Debian, Oracle Linux, SUSE e Amazon Linux avevano pacchetti kernel corretti per almeno alcune release. Gli amministratori dovrebbero controllare le versioni del kernel, applicare gli aggiornamenti e valutare se i loro sistemi espongono listener MPTCP.

Scoperta e correzione

Anthropic sostiene che i modelli di frontiera possono ormai scoprire e combinare più vulnerabilità in un exploit funzionante, un lavoro che un tempo spettava a pochi team specializzati. La parte più difficile viene dopo. I ricercatori devono verificare le scoperte, gli sviluppatori preparare le correzioni e gli amministratori distribuire le patch su potenzialmente migliaia di sistemi.

OpenAI ha dichiarato il mese scorso che il suo modello GPT-5.6-Cyber, non rilasciato, aveva scoperto centinaia di vulnerabilità, comprese falle nel motore JavaScript V8 di Chrome, in un sistema operativo mobile, in un database e nel kernel di un sistema operativo. Gli esperti di sicurezza avvertono che l'AI potrebbe accelerare la scoperta di vulnerabilità oltre il ritmo con cui le organizzazioni riescono a indagarle e correggerle.

Ciò che un lettore non può verificare è quanto di ogni catena il modello abbia costruito da solo. Anthropic non dettaglia cosa ha fatto una persona a ogni passo e non nomina il modello, limitandosi a definirlo un modello di ricerca interno non rilasciato. L'affermazione più forte non è una singola falla, ma il fatto che un solo modello abbia trovato diverse falle separate e le abbia combinate in un exploit funzionante. Quell'affermazione si basa sul resoconto di Anthropic. Le patch e il fatto che Apple e Google attribuiscano ad Anthropic e al suo modello Claude correzioni specifiche si possono verificare con i fornitori.