Anthropic ha pubblicato una ricerca che descrive in dettaglio come uno dei suoi modelli interni inediti ha scoperto e sfruttato gravi vulnerabilità di sicurezza in alcuni dei software più utilizzati al mondo, tra cui 62 vulnerabilità corrette in Google Chrome e un exploit funzionante che ottiene l'accesso root sui server Linux senza alcuna interazione da parte dell'utente.
I risultati, esposti in un post di ricerca aziendale intitolato “Scoprire e sfruttare le vulnerabilità nei software critici del mondo reale con Claude”, descrivono cinque catene di attacco separate che abbracciano Chrome, Safari, Android, Windows e il kernel Linux. Secondo Anthropic, il lavoro è stato svolto negli ultimi mesi da un modello di ricerca interno inedito, in cui ciascuna catena portava all’esecuzione di codice remoto o ad altri impatti critici con un coinvolgimento minimo o nullo dell’utente. Mentre il settore dell’intelligenza artificiale comprende cosa questo significhi per la sicurezza del software, AI Buzz Wire continua a monitorare gli ultimi sviluppi dell’intelligenza artificiale man mano che si sviluppano.
Divulgazione coordinata alle condizioni di Anthropic
Anthropic afferma di aver segnalato ogni vulnerabilità al fornitore interessato in base a una politica coordinata di divulgazione delle vulnerabilità, che concede agli sviluppatori 90 giorni per applicare le patch e altri 45 giorni prima che l'azienda discuta i dettagli oltre a quanto già incluso in un avviso pubblico. Questo contesto è importante: lo scopo dell’esercitazione non era quello di lanciare armi funzionanti in libertà, ma di dimostrare – con exploit verificabili di prova di concetto – che i modelli di frontiera possono ora fare ricerche sulla sicurezza che in precedenza erano dominio di piccoli team altamente specializzati.
"Le competenze coinvolte sono state storicamente dominio di pochi team specializzati", hanno scritto i ricercatori di Anthropic, sottolineando che i modelli possono ora concatenare più vulnerabilità in un exploit funzionante con poco coinvolgimento umano, per poi dimostrarlo producendo un exploit che chiunque può eseguire e verificare. Il post è stato scritto da Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf e Luna Tong.
Chrome: 62 CVE, 13 escape sandbox
I risultati più estesi provengono dal browser di Google. Dopo una richiesta iniziale, il modello di Anthropic ha scritto una catena di exploit completa che esegue codice arbitrario al di fuori della sandbox di Chrome su una macchina macOS con configurazione predefinita: la prova di concetto avvia l'app Calcolatrice entro pochi secondi dal caricamento di una pagina, senza ulteriori interazioni da parte dell'utente.
La catena ha attraversato quattro distinte vulnerabilità: un bug di corruzione dell'heap nel motore JavaScript V8, un secondo bug per uscire dalla sandbox di memoria di V8 e sconfiggere ASLR utilizzando una catena di programmazione orientata al ritorno, una condizione di competizione in CacheStorage utilizzata per mappare la memoria del processo del browser privilegiato e infine un use-after-free nella funzione di accesso federato FedCM di Chrome che ha consentito al codice di sfuggire completamente alla sandbox.
In totale, Anthropic riporta che a partire da Chrome 156 sono stati assegnati e corretti 62 CVE, tutti classificati come critici o di gravità elevata, inclusi 13 escape sandbox e 21 vulnerabilità che avrebbero potuto essere utilizzate per compromettere il processo di rendering.
Safari, Android e Windows
La catena Safari ha ottenuto qualcosa di probabilmente più allarmante per gli utenti comuni: un completo bypass della politica della stessa origine, la regola fondamentale che impedisce a un sito web di leggere i dati di un altro sito. Il modello ha concatenato un use-after-free nel motore JavaScriptCore, una fuga dall'isolamento della memoria Gigacage di WebKit e un difetto nel meccanismo IPC della sandbox WebContent, consentendo a una pagina dannosa di leggere la cronologia e i cookie di Safari e di inviare richieste autenticate ad altri domini. Apple, nota Anthropic, ha preso atto del rapporto lo stesso giorno in cui è stato presentato e ha implementato tempestivamente una soluzione.
Su Android, il modello ha combinato analisi del codice sorgente, reverse engineering dei file binari dei servizi di Google Play e test dal vivo su un Google Pixel 9 fisico per creare un exploit che estrae foto e dati personali da un telefono bloccato tramite USB, aggirando il flusso di autorizzazione di accoppiamento e la fase di verifica del codice a sei cifre lungo il percorso.
Il risultato di Windows è stato un crash remoto e non autenticato: una lettura fuori limite nell'implementazione QUIC del kernel di Windows, ora tracciata come CVE-2026-33096 e risolta da Microsoft. Anthropic stima che diversi milioni di server rispondano a HTTP/3 e potrebbero essere andati in crash ripetutamente a causa dell'exploit. In particolare, la società afferma che il modello ha individuato il bug attraverso la pura analisi binaria, decodificando l'eseguibile di Windows con strumenti come Ghidra prima di studiare il codice ricostruito per individuare i punti deboli.
Il kernel Linux: root a zero clic
La quinta catena è quella su cui è probabile che i team di sicurezza perdano il sonno. Il modello di Anthropic ha scoperto un use-after-free indotto da condizioni di competizione nello stack di rete del kernel Linux, tracciato come CVE-2026-98432, e ha creato un exploit che invia pacchetti di rete a qualsiasi server che esegue un ascoltatore multipath TCP (MPTCP) per eseguire comandi arbitrari come root: senza credenziali, senza interazione con l'utente.
L'exploit funziona in due fasi: prima sconfigge KASLR da remoto abusando della corsa per innescare una lettura eccessiva che restituisce un puntatore al kernel all'aggressore; quindi trabocca un buffer per sovrascrivere un puntatore di callback, concatenando le funzioni del kernel esistenti finché un comando di shell scelto dall'aggressore non viene eseguito come root. Nella prova di concetto di Anthropic, la perdita di un puntatore del kernel ha richiesto 48 minuti, con l'accesso alla shell circa cinque minuti dopo. Una proprietà abilitante chiave: perdere la gara semplicemente fallisce l'handshake senza mandare in crash il sistema, quindi un utente malintenzionato può riprovare indefinitamente.
Anthropic afferma che la vulnerabilità è stata corretta a monte e sottoposta a backport su tutti i rami del kernel mantenuti stabili. Tuttavia, l'implementazione della distribuzione è ritardata: The Hacker News ha riferito questa settimana che Ubuntu e Red Hat non avevano ancora un kernel fisso disponibile e il progetto Go ha emesso un avviso che i programmi Go abilitano il TCP multipath per impostazione predefinita, esponendoli al difetto.
Una nuova linea di base per attaccanti e difensori
Al di là dei singoli bug, il post di Anthropic descrive la metodologia che ha reso possibile la scalabilità: una piattaforma che esegue un gran numero di agenti di scansione in parallelo, misurando quante vulnerabilità aggiuntive contribuisce ciascuno scanner e applicando l'analisi automatizzata delle varianti a ogni risultato confermato. L'azienda consiglia inoltre la scansione al momento della richiesta pull e a tale scopo ha rilasciato pubblicamente un plug-in di sicurezza Claude Code.
Per i difensori, Anthropic sta espandendo il suo Cyber Verification Program, che offre ai professionisti della sicurezza qualificati l’accesso a capacità informatiche avanzate e ai suoi modelli più capaci, tra cui Claude Opus 5.5, Claude Sonnet 5.5 e Claude Mythos 5.1. Il consiglio dell'azienda rimane schietto: scansiona il tuo codice prima che lo faccia il modello di qualcun altro.
L’episodio costituisce un vivido punto di riferimento nel dibattito in corso sull’intelligenza artificiale e sulla criminalità informatica. I laboratori di frontiera hanno passato due anni a sostenere che i modelli potrebbero presto individuare e concatenare le vulnerabilità del mondo reale: almeno questa settimana, l’onere della prova è stato affrontato con exploit funzionanti.
Per una copertura continua della ricerca sulla sicurezza dell'intelligenza artificiale, delle liberatorie dei modelli e delle policy, segui AI Buzz Wire.
