Anthropic は、未公開の内部モデルの 1 つが、世界で最も広く使用されているソフトウェアのいくつかにある重大なセキュリティ脆弱性をどのように発見し、悪用したかを詳しく調査した調査結果を発表しました。これには、Google Chrome のパッチが適用された 62 件の脆弱性や、ユーザーの操作をまったく行わずに Linux サーバー上で root アクセスを取得する実用的なエクスプロイトが含まれます。
この調査結果は、「クロードによる重要な現実世界のソフトウェアの脆弱性の発見と悪用」と題された同社の調査投稿にまとめられており、Chrome、Safari、Android、Windows、Linux カーネルにわたる 5 つの個別の攻撃チェーンについて説明しています。 Anthropic によると、この作業は過去数か月にわたって未公開の内部研究モデルによって実行され、各チェーンはユーザーの関与がほとんどまたはまったくなく、リモートでのコード実行やその他の重大な影響につながりました。 AI 業界がこれがソフトウェア セキュリティにとって何を意味するのかを理解する中、AI Buzz Wire は 最新の AI 開発 の展開を追跡し続けています。
Anthropic の条件に基づいた調整された開示
Anthropic 社は、調整された脆弱性開示ポリシーに基づいてすべての脆弱性を影響を受けるベンダーに報告したと述べています。このポリシーでは、開発者にパッチを適用するまでに 90 日間の猶予期間が与えられ、公開アドバイザリーに既に含まれている内容を超える詳細について同社が議論するまでにさらに 45 日間の猶予が与えられています。その枠組みが重要です。演習の目的は、実用的な武器を野に落とすことではなく、検証可能な概念実証エクスプロイトを使って、以前は小規模で高度に専門化されたチームの領域であったセキュリティ研究がフロンティアモデルで行えることを実証することでした。
Anthropic の研究者らは、「これまで、関与するスキルは少数の専門家チームの領域でした」と述べ、モデルは人間の関与をほとんど行わずに複数の脆弱性を連鎖させて実用的なエクスプロイトを作成し、誰でも実行して検証できるエクスプロイトを作成することでそれを証明できると指摘しています。この投稿は、Nicholas Carlini、David Dworken、Xinyang Ge、Ben Morris、Milad Nasr、Chris Rohlf、Luna Tong によって執筆されました。
Chrome: 62 CVE、13 サンドボックスエスケープ
最も広範な結果は Google のブラウザから得られました。最初のプロンプトの後、Anthropic のモデルは、在庫のデフォルト構成の macOS マシン上で Chrome のサンドボックスの外で任意のコードを実行する完全なエクスプロイト チェーンを作成しました。概念実証では、ページの読み込みから数秒以内に電卓アプリが起動され、それ以上のユーザー操作は必要ありません。
このチェーンは、V8 JavaScript エンジンのヒープ破損バグ、V8 のメモリ サンドボックスを突破してリターン指向プログラミング チェーンを使用して ASLR を破る 2 番目のバグ、特権ブラウザ プロセスのメモリをマッピングするために使用される CacheStorage の競合状態、そして最後にコードがサンドボックスから完全にエスケープできるようにする Chrome の FedCM フェデレーション サインイン機能の解放後の使用です。
Anthropic の報告によると、Chrome 156 の時点で合計 62 件の CVE が割り当てられ、パッチが適用され、すべてクリティカルまたは高重大度と評価されており、その中には 13 件のサンドボックス エスケープとレンダラー プロセスの侵害に使用された可能性のある 21 件の脆弱性が含まれています。
Safari、Android、Windows
Safari チェーンは、日常のユーザーにとっておそらくより憂慮すべきことを達成しました。それは、ある Web サイトが別のサイトのデータを読み取らないようにする基本的なルールである同一生成元ポリシーの完全なバイパスです。このモデルは、JavaScriptCore エンジンの use-after-free、WebKit の Gigacage メモリ分離からの脱出、WebContent サンドボックスの IPC メカニズムの欠陥を連鎖させ、悪意のあるページが Safari の履歴と Cookie を読み取り、認証されたリクエストを他のドメインに送信することを可能にしました。 Anthropic 氏によると、Apple は報告書が提出された同日にこの報告書を認め、直ちに修正を実施したとのことです。
Android では、このモデルはソース コード分析、Google Play サービス バイナリのリバース エンジニアリング、物理的な Google Pixel 9 でのライブ テストを組み合わせて、ロックされた携帯電話から USB 経由で写真と個人データを抽出するエクスプロイトを構築しました。途中でペアリング認証フローと 6 桁のコード検証ステップをバイパスしました。
Windows で発見されたのは、リモートの認証されていないクラッシュ、つまり Windows カーネルの QUIC 実装での範囲外の読み取りであり、現在 CVE-2026-33096 として追跡され、Microsoft によって修正されました。 Anthropic は、数百万台のサーバーが HTTP/3 に応答しており、このエクスプロイトによって繰り返しクラッシュした可能性があると推定しています。注目すべき点は、このモデルが純粋なバイナリ分析を通じてバグを発見したこと、つまり、再構築されたコードの弱点を調査する前に、Ghidra などのツールを使用して Windows 実行ファイルをリバース エンジニアリングしたことであると同社は述べています。
Linux カーネル: ゼロクリック ルート
5 番目のチェーンは、セキュリティ チームが寝不足になる可能性が高いチェーンです。 Anthropic のモデルは、CVE-2026-98432 として追跡されている、Linux カーネルのネットワーク スタックで競合状態によって引き起こされる use-after-free を発見し、マルチパス TCP (MPTCP) リスナーを実行しているサーバーにネットワーク パケットを送信して、資格情報やユーザーの操作を行わずに root として任意のコマンドを実行するエクスプロイトを構築しました。
このエクスプロイトは 2 段階で機能します。まず、レースを悪用してリモートで KASLR を破り、カーネル ポインタを攻撃者に漏洩するオーバーリードを引き起こします。次に、バッファをオーバーフローしてコールバック ポインタを上書きし、攻撃者が選択したシェル コマンドが root として実行されるまで既存のカーネル関数を連鎖させます。 Anthropic の概念実証では、カーネル ポインタの漏洩に 48 分かかり、約 5 分後にシェルにアクセスしました。重要な有効化特性: レースに負けても、システムをクラッシュさせることなくハンドシェイクに失敗するだけなので、攻撃者は無制限に再試行できます。
Anthropic によれば、この脆弱性はアップストリームでパッチされ、維持されているすべての安定したカーネル ブランチにバックポートされたとのことです。しかし、配布の展開は遅れています。今週、ハッカー ニュースは、Ubuntu と Red Hat には修正カーネルがまだ利用可能ではないと報じました。また、Go プロジェクトは、Go プログラムがデフォルトでマルチパス TCP を有効にしており、欠陥にさらされているという警告を発しました。
攻撃者と防御者のための新しいベースライン
Anthropic の投稿では、個々のバグを超えて、スケールを可能にした方法論について説明しています。プラットフォームは、多数のスキャン エージェントを並行して実行し、各スキャナーが寄与する追加の脆弱性の数を測定し、確認されたすべての検出結果に自動化されたバリアント分析を適用します。同社はプルリクエスト時にスキャンすることも推奨しており、その目的のために Claude Code セキュリティ プラグインを公開しました。
Anthropic は防御側のために、サイバー検証プログラムを拡張しています。これにより、資格のあるセキュリティ専門家は、Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 などの高度なサイバー機能とその最も有能なモデルにアクセスできるようになります。同社のアドバイスは相変わらず単刀直入だ：他人のモデルがスキャンする前に自分のコードをスキャンせよ。
このエピソードは、AI とサイバー攻撃に関する進行中の議論における鮮明なデータ ポイントです。フロンティア研究所は、モデルが近いうちに現実世界の脆弱性を見つけて連鎖させることができるようになるだろうと2年を費やして主張してきたが、少なくとも今週、エクスプロイトが機能することで立証責任が果たされた。
AI セキュリティ研究、モデル リリース、ポリシーに関する継続的な報道については、AI Buzz Wire をフォローしてください。
