Неиздаден модел с изкуствен интелект на Anthropic откри уязвимости в сигурността на Chrome, Safari, Android, Windows и Linux и ги обедини в работещи концептуални експлойти (proof-of-concept), съобщи компанията в последния си доклад.
Експлойтите са създадени в лабораторни условия след подаване на задание към модела и не са наблюдавани в реална атака. Anthropic първо е съобщила за всеки дефект на съответния разработчик, така че за всички тях вече са инсталирани корекции за сигурност. Една от концептуалните демонстрации е отворила приложението Calculator на стандартен Mac с инсталиран Chrome само за секунди след зареждане на страница, без да са необходими допълнителни кликвания.
Екипът Frontier Red Team на Anthropic описа пет вериги в изследователска публикация. Най-значимото твърдение не е свързано с конкретен дефект, а с факта, че един модел е открил няколко отделни уязвимости и ги е комбинирал в работещ експлойт — постижение, което според компанията досега е било по силите единствено на специализирани екипи. Това твърдение за възможностите се основава изцяло на изнесената от Anthropic информация.
Корекциите за сигурност и фактът, че Apple и Google изказват признание на Anthropic и модела Claude за конкретни отстранявания на уязвимости, могат да бъдат потвърдени от самите доставчици.
Това, което читателят не може да провери, е каква част от всяка верига моделът е изградил сам. Anthropic посочва, че работата е изисквала само „първоначално задаване на инструкции“ и „минимална човешка намеса“, но не уточнява какво е извършил човек на всяка стъпка и не назовава конкретно модела, освен че го описва като неиздаден вътрешен изследователски модел.
За единствената уязвимост с публично досие — дефектът в Windows — в регистрите въобще не се посочва откривател. Ето петте вериги, какво прави всяка от тях, необходимото условие и къде е внедрена корекцията за сигурност.
| Платформа | Какво прави експлойтът | Необходимо условие | Корекция за сигурност |
|---|---|---|---|
| Chrome | Изпълнява код на компютъра извън изолираната среда на браузъра само при едно посещение на уеб страница | Едно кликване или зареждане на страница, стандартен Chrome под macOS | Chrome 156, 20 октомври |
| Safari | Позволява на всеки уебсайт да чете данни от други сайтове, в които потребителят е вписан, например имейл или банкова сметка | Едно посещение на зловредна страница | iOS и iPadOS 26.5.2, 29 юни |
| Android | Копира снимки и други данни от заключен, откраднат телефон | Физически достъп до телефона през USB | Anthropic заявява, че Google е отстранила уязвимостта; публичен запис не е открит |
| Windows | Предизвиква срив на сървър по мрежата и поддържа състоянието му неактивно чрез повтаряне | Сървърът отговаря на HTTP/3 заявки | CVE-2026-33096, коригирана през април 2026 г. |
| Linux | Изпълнява команди като root по мрежата без необходимост от вход или действие от потребителя | Сървърът изпълнява услуга, приемаща multipath TCP връзки | CVE-2026-98432, коригирана на 15 октомври |
Във веригата за Chrome моделът е използвал последователно четири отделни уязвимости. Зловредна страница първоначално компрометира паметта във V8, JavaScript енджина на Chrome.
Втори дефект позволява излизане от изолираната среда за памет на V8 и поемане на контрол върху компонента на Chrome, отговарящ за визуализацията на страницата. Грешка в синхронизацията (race condition) във функционалност, наречена CacheStorage, след това позволява на този код да чете памет, до която не би трябвало да има достъп, и да разучи структурата на процеса на браузъра с по-високи привилегии.
Последна уязвимост от тип use-after-free във FedCM — функцията за идентификация в Chrome — позволява на експлойта да изпълни код изцяло извън изолираната среда. Anthropic твърди, че е докладвала 62 уязвимости на Google, на които са присвоени CVE номера и са отстранени към Chrome 156, като всички са оценени с критично или високо ниво на опасност, включително 13 случая на преодоляване на изолирана среда.
В бележките към изданието на Google признание се отдава на „Xinyang Ge от Anthropic, подпомогнат от Claude“ за конкретни корекции в Chrome, макар и не за всички 62.
Веригата за Safari се различава, тъй като въобще не изпълнява код. Тя свързва уязвимости за получаване на пълен достъп за четене и запис в паметта на браузъра, след което променя единична стойност, за да изключи политиката за еднакъв произход (same-origin policy) — правилото, предотвратяващо четенето на данни от един сайт от друг.
При изключено такова правило зловредна страница може да прочете историята и бисквитките на потребителя, както и да изпраща автентикирани заявки към други сайтове. Apple отстрани уязвимостта use-after-free в центъра на веригата в iOS и iPadOS 26.5.2 и изказа признание на „Milad Nasr и Nicholas Carlini с Claude, Anthropic“ за откритието.
Веригата за Windows е тази с независимо публично досие, като същевременно е и с най-тесен обхват. Тя представлява атака за отказ на услуга (DoS): няколко мрежови пакета сриват машината, а повтарянето им я поддържа неактивна, но не изпълнява код и не краде данни. Anthropic описва дефекта като четене извън границите на буфера (out-of-bounds read) при обработката на QUIC протокола в ядрото на Windows.
Публичното досие за посочената уязвимост, CVE-2026-33096, вместо това посочва HTTP.sys — вградения манипулатор на уеб заявки в Windows — и ѝ дава оценка 7.5 от 10. Нито един открит източник не свързва тези две описания като един и същ компонент. В CVE регистъра липсва посочен откривател, така че авторството на Anthropic за тази уязвимост се базира единствено на тяхната публикация.
Към края на октомври в правителствената база данни за обогатяване на уязвимости на САЩ дефектът е отбелязан като неексплоатиран и не присъства в каталога на CISA за известни експлоатирани уязвимости.
Веригата за Linux е най-сериозна по отношение на въздействието: тя изпълнява команди като root по мрежата без необходимост от вход в системата. За целта е необходимо целевият сървър да поддържа активен multipath TCP порт за слушане. Моделът първо предизвиква изтичане на адрес от паметта на ядрото, за да заобиколи защитния механизъм KASLR, след което използва същата уязвимост от тип race condition, за да пренасочи програмата към код, предварително разположен от атакуващия, което осигурява root шел.
Anthropic посочва, че на концептуалния експлойт са му били необходими 48 минути за извличане на адреса и още пет минути за достигане до шел, като неуспешният опит не срива системата и позволява на атакуващия да продължи с опитите.
Компанията свързва тази верига с CVE-2026-98432 — уязвимост use-after-free в ядрото с оценка 9.8, коригирана в основния код на 15 октомври. Публичният запис за това CVE описва корекция за IPv4 TCP, а не за multipath TCP, като връзката между двете се прави единствено в публикацията на Anthropic.
Anthropic представя работата си като помощ за защитниците на сигурността. Компанията подчертава, че е съобщила за всеки дефект съгласно политика за координирано разкриване, предоставяща на разработчиците 90 дни за отстраняване на уязвимостта и още 45 дни преди публикуване на подробности извън публично съобщение. Тя насочва екипите по сигурност към разширената си програма Cyber Verification Program, даваща достъп на проверени специалисти до Claude Opus 5.5, Sonnet 5.5 и Mythos 5.1.
Причината за публикуването, посочена от компанията с нейни думи, е: „Сега това е нещо, което моделите могат да правят с минимална човешка намеса и след това да го докажат, като създадат работещ експлойт, който всеки може да стартира и верифицира.“