Niewydany model Claude znalazł luki w Chrome, Safari, Androidzie, Windows i Linuksie i zbudował działające eksploity

Frontier Red Team w Anthropicu opublikował badanie, w którym niewydany wewnętrzny model AI znalazł luki w Chrome, Safari, Androidzie, Windows i Linuksie, a potem połączył je w działające eksploity dowodowe. Firma podała, że ataki mogły doprowadzić do zdalnego wykonania kodu i innych poważnych skutków przy niewielkim udziale użytkownika albo bez niego. Według Anthropica wystarczyło „wstępne podpowiedzenie” i „niewielki udział człowieka”.

Eksploity powstały w laboratorium po podpowiedzeniu modelowi. Nie zaobserwowano ich w prawdziwym ataku. Anthropic twierdzi, że każdą lukę zgłosił najpierw dostawcy i wszystkie są załatane. Firma mówi o skoordynowanym ujawnianiu podatności i wskazuje na swój Cyber Verification Program, który pomaga obrońcom znajdować i usuwać słabości, zanim wykorzystają je atakujący.

Chrome i Safari

W Chrome model użył po kolei czterech luk: uszkodzenia pamięci w V8, drugiej luki, która pozwoliła wydostać się z piaskownicy pamięci V8, sytuacji wyścigu w CacheStorage oraz use-after-free w FedCM, który uruchomił kod poza piaskownicą. Eksploit Anthropica uruchamiał aplikację Kalkulator na Macu z domyślnym Chrome w kilka sekund od wczytania strony, bez dalszego udziału użytkownika.

Anthropic podaje, że zgłosił Google'owi 62 luki; dostały numery CVE i zostały naprawione do Chrome 156. Wszystkie miały ocenę krytyczną lub wysoką, w tym 13 ucieczek z piaskownicy i 21 luk, które można wykorzystać do przejęcia procesu renderującego. W notatkach do wydania Chrome Google przypisuje konkretne poprawki „Xinyangowi Ge z Anthropica, z pomocą Claude'a”, ale nie dotyczy to wszystkich 62.

Łańcuch dla Safari nie uruchamiał kodu. Uzyskał pełny dostęp do odczytu i zapisu pamięci przeglądarki, a potem zmienił jedną wartość, żeby wyłączyć politykę tego samego źródła, która blokuje jednej stronie czytanie danych innej. To mogło ujawnić historię przeglądania, pliki cookie i zalogowane sesje. Apple naprawił use-after-free w środku łańcucha w iOS i iPadOS 26.5.2 i przypisuje zasługę „Miladowi Nasrowi i Nicholasowi Carliniemu z Claude'em, Anthropic”.

Android i Windows

W Androidzie model połączył słabości w komponentach open source Androida i zastrzeżonych usługach Google Play, wykorzystując analizę kodu, inżynierię wsteczną i testy na Pixelu 9. Łańcuch mógł wyciągnąć zdjęcia i inne dane osobowe z zablokowanego telefonu przez USB. Według Anthropica Google rozwiązał problem.

Łańcuch dla Windows to atak odmowy usługi: kilka pakietów sieciowych zawiesza maszynę, a powtarzanie ich utrzymuje ją w tym stanie. Nie uruchamia kodu ani nie kradnie danych. Anthropic opisuje lukę jako odczyt poza zakresem w obsłudze QUIC w jądrze Windows. Firma podaje, że Microsoft naprawił problem i przypisał mu CVE-2026-33096. Publiczny opis tego CVE wskazuje jednak HTTP.sys, wbudowany mechanizm obsługi żądań sieciowych w Windows, i ocenia go na 7,5 na 10. Żadne otwarte źródło nie łączy tych dwóch opisów jako tego samego komponentu. Wpis CVE nie wymienia odkrywcy, więc autorstwo Anthropica opiera się wyłącznie na jego własnym wpisie. Pod koniec października rządowy system wzbogacania danych o podatnościach oznaczał lukę jako niewykorzystaną, a w katalogu znanych wykorzystanych podatności CISA jej nie było.

Dostęp roota w Linuksie

Znalezisko w Linuksie ma najpoważniejsze skutki: wykonuje polecenia jako root przez sieć, bez logowania. Wymaga, żeby serwer docelowy nasłuchiwał na MPTCP. MPTCP jest opcjonalny: aplikacje muszą o niego wprost poprosić przy tworzeniu gniazd, choć eBPF i inne techniki konfiguracji mogą wymusić jego użycie.

Anthropic wiąże łańcuch z CVE-2026-98432, use-after-free w jądrze ocenionym na 9,8 i naprawionym w głównym drzewie 15 października. Publiczny opis tego CVE mówi o poprawce w IPv4 TCP, a nie w MPTCP, i oba łączy tylko wpis Anthropica. Luka dotyczy ośmiu gałęzi jądra, od wersji 4.4, z poprawkami w 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3-rc7.

Anthropic podaje, że jego eksploit potrzebował 48 minut na wyciek adresu w jądrze i pięciu kolejnych na uzyskanie powłoki roota, w sumie około 53 minut. Nieudana próba nie zawiesza systemu, więc atakujący może próbować dalej. Do 30 października Ubuntu i Red Hat Enterprise Linux nie wydały załatanych jąder. Debian, Oracle Linux, SUSE i Amazon Linux miały poprawione pakiety jądra przynajmniej dla części wydań. Administratorzy powinni sprawdzić wersje jądra, zainstalować aktualizacje i ocenić, czy ich systemy wystawiają nasłuch MPTCP.

Odkrywanie a łatanie

Anthropic przekonuje, że modele frontier potrafią już znajdować wiele podatności i łączyć je w działający eksploit, co kiedyś należało do nielicznych wyspecjalizowanych zespołów. Trudniejsze przychodzi potem. Badacze muszą zweryfikować ustalenia, deweloperzy przygotować poprawki, a administratorzy wdrożyć je na potencjalnie tysiącach systemów.

OpenAI podał miesiąc wcześniej, że jego niewydany model GPT-5.6-Cyber znalazł setki podatności, w tym luki w silniku JavaScript V8 w Chrome, w systemie mobilnym, w bazie danych i w jądrze systemu operacyjnego. Eksperci od bezpieczeństwa ostrzegają, że AI może przyspieszyć odkrywanie podatności ponad tempo, w jakim organizacje są w stanie je badać i naprawiać.

Czego czytelnik nie sprawdzi, to ile z każdego łańcucha model zbudował sam. Anthropic nie rozbija na kroki tego, co robił człowiek, i nie nazywa modelu poza określeniem „niewydany wewnętrzny model badawczy”. Najmocniejsze twierdzenie nie dotyczy pojedynczego błędu, ale tego, że jeden model znalazł kilka osobnych luk i połączył je w działający eksploit. To twierdzenie opiera się na relacji samego Anthropica. Łatki oraz fakt, że Apple i Google przypisują Anthropicowi i jego modelowi Claude konkretne poprawki, można zweryfikować u dostawców.