Anthropic каже, що невипущена модель ШІ об'єднала вразливості у робочі експлойти

Anthropic повідомила, що невипущена внутрішня дослідницька модель знайшла вразливості безпеки в Chrome, Safari, Android, Windows і Linux та об'єднала їх у робочі експлойти для перевірки концепції. Компанія заявила, що роботу виконали в лабораторії після підказки, її не бачили в реальній атаці, а кожну вразливість спочатку повідомили виробникам. Усі вразливості вже виправлено.

П'ять ланцюжків експлойтів

Команда Frontier Red Team компанії Anthropic описала п'ять ланцюжків. Один демонстраційний приклад відкрив застосунок Calculator на стандартному Mac із Chrome за кілька секунд після завантаження сторінки, без подальших натискань. Компанія заявила, що модель знайшла кілька окремих вразливостей і об'єднала їх у робочий експлойт, що, за її словами, досі було роботою кількох спеціалізованих команд. Це твердження про можливості ґрунтується на власному описі Anthropic, тоді як виправлення та згадки виробників можна перевірити в Apple і Google.

Chrome, Safari та Android

У ланцюжку Chrome модель послідовно використала чотири вразливості: пошкодження пам'яті у V8, вихід із пісочниці, стан гонитви CacheStorage, що витікав розташування пам'яті, та use-after-free у FedCM. Anthropic повідомила, що передала Google 62 вразливості, яким присвоїли CVE та які виправили станом на Chrome 156; усі вони критичні або високі, зокрема 13 виходів із пісочниці. Google згадує Xinyang Ge з Anthropic, якому допомагав Claude, за конкретні виправлення Chrome. Ланцюжок Safari ніколи не виконує код: він отримує доступ до пам'яті браузера на читання й запис та вимикає політику однакового походження, що дозволяє зловмисній сторінці читати історію й файли cookie та надсилати запити від імені авторизованого користувача. Apple виправила центральну вразливість use-after-free в iOS та iPadOS 26.5.2 і згадує Milad Nasr і Nicholas Carlini разом із Claude, Anthropic. Щодо Android, Anthropic заявила, що Google виправив вразливість, яка могла копіювати фотографії та інші дані з заблокованого вкраденого телефону через USB, але публічного запису не знайдено.

Windows і Linux

Ланцюжок Windows є атакою на відмову в обслуговуванні: кілька мережевих пакетів можуть призвести до збою сервера, що відповідає на запити HTTP/3, а їх повторення тримає його недоступним. Anthropic описала читання за межами допустимого в обробці QUIC у ядрі Windows, тоді як публічний запис для CVE-2026-33096 називає HTTP.sys і оцінює її на 7,5 з 10. CVE не згадує автора знахідки. Ланцюжок Linux може виконувати команди з правами root через мережу без входу, якщо сервер має слухач multipath TCP. Модель витікла адресу ядра, щоб обійти KASLR, а потім повторно використала помилку стану гонитви, щоб отримати оболонку root; демонстраційний приклад витік адреси за 48 хвилин і ще п'ять хвилин потребував для досягнення оболонки. Anthropic пов'язала це з CVE-2026-98432, оціненою на 9,8, хоча публічний запис описує виправлення IPv4 TCP, а не multipath TCP.

Розкриття та перевірка

Anthropic повідомила, що передавала кожну вразливість у рамках узгодженого розкриття, даючи розробникам 90 днів на виправлення та ще 45 днів до обговорення деталей поза межами публічного повідомлення. Компанія також спрямувала команди безпеки до розширеної програми Cyber Verification Program, яка надає перевіреним фахівцям доступ до Claude Opus 5.5, Sonnet 5.5 і Mythos 5.1. Компанія заявила, що моделі тепер можуть виконувати цю роботу з незначним залученням людини й доводять це, створюючи робочий експлойт, який будь-хто може запустити та перевірити. Anthropic повідомила, що для роботи була потрібна лише початкова підказка та незначне залучення людини, але не пояснила, що саме робила людина на кожному кроці, і не назвала модель, окрім опису як невипущеної внутрішньої дослідницької моделі.

Джерела: The Hacker News