Anthropic hat Untersuchungen veröffentlicht, in denen detailliert beschrieben wird, wie eines seiner unveröffentlichten internen Modelle schwerwiegende Sicherheitslücken in einigen der weltweit am häufigsten verwendeten Software entdeckt und ausgenutzt hat – darunter 62 gepatchte Schwachstellen in Google Chrome und ein funktionierender Exploit, der ohne jegliche Benutzerinteraktion Root-Zugriff auf Linux-Server erhält.
Die Ergebnisse, die in einem Forschungsbeitrag des Unternehmens mit dem Titel „Erkennen und Ausnutzen von Schwachstellen in kritischer, realer Software mit Claude“ dargelegt wurden, beschreiben fünf separate Angriffsketten, die Chrome, Safari, Android, Windows und den Linux-Kernel umfassen. Laut Anthropic wurde die Arbeit in den letzten Monaten anhand eines unveröffentlichten, internen Forschungsmodells durchgeführt, wobei jede Kette zur Remote-Codeausführung oder anderen kritischen Auswirkungen führte, ohne dass der Benutzer beteiligt war. Während die KI-Branche verarbeitet, was dies für die Softwaresicherheit bedeutet, verfolgt AI Buzz Wire weiterhin die neuesten KI-Entwicklungen, während sie sich entfalten.
Koordinierte Offenlegung zu den Bedingungen von Anthropic
Anthropic gibt an, jede Schwachstelle dem betroffenen Anbieter im Rahmen einer koordinierten Richtlinie zur Offenlegung von Schwachstellen gemeldet zu haben, die den Entwicklern 90 Tage Zeit zum Patchen und weitere 45 Tage einräumt, bevor das Unternehmen Details bespricht, die über das hinausgehen, was bereits in einer öffentlichen Empfehlung enthalten ist. Auf diesen Rahmen kommt es an: Bei der Übung ging es nicht darum, funktionsfähige Waffen in die Wildnis zu schicken, sondern darum, mit überprüfbaren Proof-of-Concept-Exploits zu demonstrieren, dass Grenzmodelle nun Sicherheitsforschung betreiben können, die früher die Domäne kleiner, hochspezialisierter Teams war.
„Die damit verbundenen Fähigkeiten waren in der Vergangenheit die Domäne einiger weniger Spezialistenteams“, schrieben die Forscher von Anthropic und stellten fest, dass Modelle jetzt mehrere Schwachstellen in einem funktionierenden Exploit mit wenig menschlichem Eingreifen verketten und dies dann durch die Erstellung eines Exploits beweisen können, den jeder ausführen und überprüfen kann. Der Beitrag wurde von Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf und Luna Tong verfasst.
Chrome: 62 CVEs, 13 Sandbox-Escapes
Die umfangreichsten Ergebnisse kamen vom Browser von Google. Nach einer ersten Aufforderung schrieb das Modell von Anthropic eine vollständige Exploit-Kette, die beliebigen Code außerhalb der Sandbox von Chrome auf einem Standard-MacOS-Rechner mit Standardkonfiguration ausführt – der Proof-of-Concept startet die Rechner-App innerhalb von Sekunden nach dem Laden einer Seite, ohne weitere Benutzerinteraktion.
Die Kette überwand vier verschiedene Schwachstellen: einen Heap-Korruptionsfehler in der V8-JavaScript-Engine, einen zweiten Fehler, der aus der Speichersandbox von V8 ausbrach und ASLR mithilfe einer rückgabeorientierten Programmierkette besiegte, eine Race-Bedingung in CacheStorage, die zum Zuordnen des Speichers des privilegierten Browserprozesses verwendet wurde, und schließlich eine Use-After-Free-Funktion in der föderierten Anmeldefunktion FedCM von Chrome, die es dem Code ermöglichte, die Sandbox vollständig zu verlassen.
Insgesamt berichtet Anthropic, dass ab Chrome 156 62 CVEs zugewiesen und gepatcht wurden, die alle als kritisch oder hoch eingestuft wurden, darunter 13 Sandbox-Escapes und 21 Schwachstellen, die zur Beeinträchtigung des Renderer-Prozesses hätten genutzt werden können.
Safari, Android und Windows
Die Safari-Kette hat etwas erreicht, das für normale Benutzer wohl Besorgniserregender ist: eine vollständige Umgehung der Same-Origin-Richtlinie, der Grundregel, die verhindert, dass eine Website die Daten einer anderen Website liest. Das Modell verkettete ein Use-After-Free in der JavaScriptCore-Engine, einen Ausweg aus der Gigacage-Speicherisolation von WebKit und einen Fehler im IPC-Mechanismus der WebContent-Sandbox – wodurch eine bösartige Seite den Safari-Verlauf und Cookies lesen und authentifizierte Anfragen an andere Domänen senden konnte. Apple, so Anthropic, habe den Bericht noch am selben Tag, an dem er eingereicht wurde, zur Kenntnis genommen und umgehend eine Lösung implementiert.
Auf Android kombinierte das Modell Quellcode-Analyse, Reverse Engineering der Binärdateien der Google Play-Dienste und Live-Tests auf einem physischen Google Pixel 9, um einen Exploit zu erstellen, der Fotos und persönliche Daten über USB von einem gesperrten Telefon extrahiert – und dabei den Kopplungs-Autorisierungsfluss und den sechsstelligen Code-Verifizierungsschritt umgeht.
Das Windows-Ergebnis war ein entfernter, nicht authentifizierter Absturz: ein außerhalb der Grenzen liegender Lesevorgang in der QUIC-Implementierung des Windows-Kernels, der jetzt als CVE-2026-33096 verfolgt und von Microsoft behoben wurde. Anthropic schätzt, dass mehrere Millionen Server auf HTTP/3 reagieren und durch den Exploit wiederholt zum Absturz gekommen sein könnten. Das Unternehmen sagt insbesondere, dass das Modell den Fehler durch reine Binäranalyse gefunden habe – durch Reverse Engineering der ausführbaren Windows-Datei mit Tools wie Ghidra, bevor der rekonstruierte Code auf Schwachstellen untersucht wurde.
Der Linux-Kernel: Zero-Click-Root
Die fünfte Kette ist diejenige, bei der Sicherheitsteams wahrscheinlich den Schlaf verlieren werden. Das Modell von Anthropic entdeckte einen durch Race Condition verursachten Use-After-Free im Netzwerk-Stack des Linux-Kernels, der als CVE-2026-98432 verfolgt wird, und erstellte einen Exploit, der Netzwerkpakete an jeden Server sendet, auf dem ein Multipath-TCP-Listener (MPTCP) läuft, um beliebige Befehle als Root auszuführen – keine Anmeldeinformationen, keine Benutzerinteraktion.
Der Exploit funktioniert in zwei Phasen: Zuerst besiegt er KASLR aus der Ferne, indem er das Rennen missbraucht, um einen Overread auszulösen, der einen Kernel-Zeiger an den Angreifer zurückgibt; Anschließend läuft ein Puffer über, um einen Callback-Zeiger zu überschreiben und vorhandene Kernelfunktionen zu verketten, bis ein vom Angreifer ausgewählter Shell-Befehl als Root ausgeführt wird. Im Proof of Concept von Anthropic dauerte das Durchsickern eines Kernel-Zeigers 48 Minuten, der Shell-Zugriff erfolgte etwa fünf Minuten später. Eine entscheidende Eigenschaft: Der Verlust des Rennens führt lediglich dazu, dass der Handshake fehlschlägt, ohne dass das System zum Absturz kommt, sodass ein Angreifer es auf unbestimmte Zeit erneut versuchen kann.
Anthropic sagt, dass die Schwachstelle im Upstream gepatcht und auf alle gepflegten stabilen Kernel-Zweige zurückportiert wurde. Die Verteilungseinführungen hinken jedoch hinterher – The Hacker News berichtete diese Woche, dass für Ubuntu und Red Hat noch kein fester Kernel verfügbar sei, und das Go-Projekt gab eine Warnmeldung heraus, dass Go-Programme standardmäßig Multipath-TCP aktivieren, wodurch sie dem Fehler ausgesetzt seien.
Eine neue Grundlinie für Angreifer – und Verteidiger
Über die einzelnen Fehler hinaus beschreibt der Beitrag von Anthropic die Methodik, die diese Skalierung ermöglicht hat: eine Plattform, die eine große Anzahl von Scan-Agenten parallel ausführt, misst, wie viele zusätzliche Schwachstellen jeder Scanner verursacht, und eine automatisierte Variantenanalyse auf jeden bestätigten Befund anwendet. Das Unternehmen empfiehlt außerdem das Scannen zum Pull-Request-Zeitpunkt und hat zu diesem Zweck ein Claude Code-Sicherheits-Plugin öffentlich veröffentlicht.
Für Verteidiger erweitert Anthropic sein Cyber-Verifizierungsprogramm, das qualifizierten Sicherheitsexperten Zugang zu fortschrittlichen Cyber-Fähigkeiten und seinen leistungsfähigsten Modellen, darunter Claude Opus 5.5, Claude Sonnet 5.5 und Claude Mythos 5.1, bietet. Der Rat des Unternehmens bleibt unverblümt: Scannen Sie Ihren eigenen Code, bevor es das Modell eines anderen tut.
Die Episode ist ein anschaulicher Datenpunkt in einer laufenden Debatte über KI und Cyber-Straftaten. Frontier Labs haben zwei Jahre lang argumentiert, dass Modelle bald reale Schwachstellen finden und verketten könnten – zumindest diese Woche wurde die Beweislast durch funktionierende Exploits erfüllt.
Für eine kontinuierliche Berichterstattung über KI-Sicherheitsforschung, Modellfreigaben und Richtlinien folgen Sie AI Buzz Wire.
