Anthropic אומרת שמודל AI שלא שוחרר שרשר פגמים לאקספלויטים עובדים

אנתרופיק מסרה שמודל מחקר פנימי שלא שוחרר מצא פגיעות אבטחה ב-Chrome, Safari, Android, Windows ו-Linux ושרשר אותם לאקספלויטים עובדים מסוג proof-of-concept. החברה אמרה שהעבודה בוצעה במעבדה לאחר הנחיה, לא נראתה במתקפה אמיתית, וכל פגם דווח לצוותי היצרנים תחילה. כל הפגמים כבר תוקנו.

חמש שרשראות ניצול

צוות Frontier Red Team של אנתרופיק תיאר חמש שרשראות. הוכחת קונספט אחת פתחה את אפליקציית המחשבון ב-Mac סטנדרטי שמפעיל Chrome תוך שניות מטעינת הדף, ללא קליקים נוספים. החברה אמרה שהמודל מצא מספר פגמים נפרדים ושילב אותם לאקספלויט עובד, דבר שהיא אומרת כי עד כה היה בתחומם של מספר צוותים מומחים. טענת היכולת הזו נשענת על הדיווח של אנתרופיק בלבד, בעוד שאת התיקונים ואת הקרדיטים שמסרו היצרנים ניתן לבדוק מול Apple ו-Google.

Chrome, Safari ו-Android

בשרשרת ה-Chrome, המודל השתמש בארבעה פגמים לפי התור: פגיעה בזיכרון ב-V8, בריחה מסנדבוקס, תחרות ב-CacheStorage שדלפה את פריסת הזיכרון, ושימוש-לאחר-שחרור ב-FedCM. אנתרופיק אמרה שדיווחה ל-Google על 62 פגמים שקיבלו CVE ותוקנו החל מ-Chrome 156, כולם קריטיים או גבוהים, כולל 13 בריחות מסנדבוקס. Google מעניקה קרדיט ל-Xinyang Ge מאנתרופיק, בסיוע Claude, עבור תיקונים ספציפיים ב-Chrome. שרשרת ה-Safari מעולם לא מריצה קוד: היא משיגה גישת קריאה וכתיבה לזכרון הדפדפן ומכבה את מדיניות המקור-המזוהה, ומאפשרת לדף זדוני לקרוא היסטוריה וקוקיז ולשלוח בקשות במצב מחובר. Apple תיקנה את השימוש-לאחר-שחרור המרכזי ב-iOS ו-iPadOS 26.5.2 ומעניקה קרדיט ל-Milad Nasr ול-Nicholas Carlini עם Claude, מאנתרופיק. ב-Android, אנתרופיק אמרה ש-Google תיקנה פגם שיכול היה להעתיק תמונות ונתונים אחרים מטלפון גנוב נעול דרך USB, אך לא נמצא רשומה ציבורית.

Windows ו-Linux

שרשרת ה-Windows היא מתקפת מניעת-שירות: כמה מנות רשת יכולות להפיל שרת שמגיב לבקשות HTTP/3, וחזרה עליהן מחזירה אותו למטה. אנתרופיק תיארה קריאה מחוץ-לגבולות בטיפול QUIC בליבת Windows, בעוד שהרשומה הציבורית עבור CVE-2026-33096 מכנה HTTP.sys ומדרגת אותו 7.5 מתוך 10. ה-CVE אינו מייחס את הגילוי לאף אחד. שרשרת ה-Linux יכולה להריץ פקודות כ-root דרך הרשת ללא התחברות אם השרת מריץ מאזין multipath TCP. המודל דלף כתובת ליבה כדי לעקוף את KASLR, ואז השתמש מחדש בבאג מצב-תחרות כדי להגיע למסוף root; הוכחת הקונספט לקחה 48 דקות כדי לדלוף את הכתובת וחמש נוספות כדי להגיע למסוף. אנתרופיק קישרה אותו ל-CVE-2026-98432, בדירוג 9.8, אם כי הרשומה הציבורית מתארת תיקון IPv4 TCP ולא multipath TCP.

חשיפה ואימות

אנתרופיק אמרה שדיווחה על כל פגם במסגרת חשיפה מתואמת, ונותנת למפתחים 90 יום לתיקון ו-45 נוספים לפני שהיא דנה בפרטים מעבר להודעה ציבורית. היא גם כיוונה צוותי אבטחה לתוכנית Cyber Verification Program המורחבת שלה, המעניקה לאנשי מקצוע שאושרו גישה ל-Claude Opus 5.5, Sonnet 5.5 ו-Mythos 5.1. החברה אמרה שמודלים יכולים כעת לעשות עבודה זו עם מעורבות אנושית מזערית ולהוכיח זאת על ידי יצירת אקספלויט עובד שכל אחד יכול להריץ ולאמת. אנתרופיק אמרה שהעבודה דרשה רק הנחיה ראשונית ומעורבות אנושית מזערית, אך לא פירשה מה אדם עשה בכל שלב ולא זיהתה את שם המודל מעבר לכינוי מודל מחקר פנימי שלא שוחרר.

מקורות: The Hacker News