Anthropic wis nerbitake riset kanthi rinci babagan carane salah sawijining model internal sing durung dirilis nemokake lan ngeksploitasi kerentanan keamanan sing serius ing sawetara piranti lunak sing paling akeh digunakake ing donya - kalebu 62 kerentanan sing ditambal ing Google Chrome lan eksploitasi sing entuk akses root ing server Linux tanpa interaksi pangguna.
Panemuan kasebut, dilebokake ing kiriman riset perusahaan kanthi judhul "Nemokake lan ngeksploitasi kerentanan ing piranti lunak kritis, nyata karo Claude," nggambarake limang rantai serangan sing kapisah kalebu Chrome, Safari, Android, Windows lan kernel Linux. Miturut Anthropic, pakaryan kasebut ditindakake dening model riset internal sing durung dirilis sajrone sawetara wulan kepungkur, kanthi saben rantai ngarahake eksekusi kode remot utawa dampak kritis liyane sing ora ana keterlibatan pangguna. Nalika industri AI nyerna apa tegese kanggo keamanan piranti lunak, AI Buzz Wire terus nglacak perkembangan AI paling anyar nalika mbukak.
Pengungkapan terkoordinasi babagan syarat-syarat Anthropic
Anthropic ujar manawa nglaporake kabeh kerentanan menyang vendor sing kena pengaruh miturut kabijakan pambocoran kerentanan sing terkoordinasi, sing menehi pangembang 90 dina kanggo tambalan lan 45 dina maneh sadurunge perusahaan mbahas rincian ngluwihi apa sing wis kalebu ing penasehat umum. Sing penting babagan framing: titik latihan kasebut ora nyelehake senjata sing digunakake ing alam bébas, nanging kanggo nduduhake - kanthi eksploitasi bukti-konsep sing bisa diverifikasi - manawa model perbatasan saiki bisa nindakake riset keamanan sing sadurunge dadi domain tim cilik lan khusus.
"Katrampilan sing ana gandhengane wis dadi domain sawetara tim spesialis," ujare peneliti Anthropic, kanthi nyathet manawa model saiki bisa nggawe macem-macem kerentanan dadi eksploitasi kerja kanthi keterlibatan manungsa sing sithik, banjur mbuktekake kanthi ngasilake eksploitasi sing bisa ditindakake lan diverifikasi sapa wae. Kiriman kasebut ditulis dening Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf lan Luna Tong.
Chrome: 62 CVE, 13 kothak wedhi lolos
Asil paling jembar teka saka browser Google. Sawise pituduh awal, model Anthropic nulis rantai eksploitasi lengkap sing nglakokake kode sewenang-wenang ing njaba kothak wedhi Chrome ing stok, mesin macOS konfigurasi standar - bukti-konsep ngluncurake aplikasi Kalkulator sajrone sawetara detik nalika mbukak kaca, tanpa interaksi pangguna maneh.
Rantai kasebut ngliwati papat kerentanan sing beda: bug korupsi tumpukan ing mesin JavaScript V8, bug liya kanggo ngilangi kothak wedhi memori V8 lan ngalahake ASLR nggunakake rantai pemrograman berorientasi bali, kondisi balapan ing CacheStorage sing digunakake kanggo map memori proses browser sing duwe hak istimewa, lan pungkasane nggunakake-sawise-gratis ing kothak wedhi FedinCM sing diidinake kabeh kode federasi FedinCM.
Secara total, Anthropic nglaporake manawa 62 CVE ditugasake lan ditambal ing Chrome 156, kabeh dirating kritis utawa keruwetan dhuwur, kalebu 13 kothak wedhi lolos lan 21 kerentanan sing bisa digunakake kanggo kompromi proses renderer.
Safari, Android lan Windows
Rantai Safari entuk soko sing bisa uga luwih nguwatirake kanggo pangguna saben dina: bypass lengkap saka kabijakan asal sing padha, aturan dhasar sing nyegah situs web maca data situs liyane. Model kasebut nggandhengake panggunaan-sawise-gratis ing mesin JavaScriptCore, uwal saka isolasi memori Gigacage WebKit, lan cacat ing mekanisme IPC kothak wedhi WebContent - ngidini kaca ala maca riwayat Safari lan cookie lan panjaluk sing diotentikasi menyang domain liyane. Apple, Cathetan Anthropic, ngakoni laporan kasebut ing dina sing padha dikirim lan ditindakake kanthi cepet.
Ing Android, model kasebut nggabungake analisis kode sumber, rekayasa balik binari layanan Google Play, lan tes langsung ing Google Pixel 9 fisik kanggo nggawe eksploitasi sing njupuk foto lan data pribadhi saka telpon sing dikunci liwat USB - ngliwati aliran wewenang pasangan lan langkah verifikasi kode enem digit ing sadawane dalan.
Panemuan Windows minangka kacilakan sing adoh lan ora dikonfirmasi: maca sing ora ana watese ing implementasi QUIC kernel Windows, saiki dilacak minangka CVE-2026-33096 lan didandani dening Microsoft. Anthropic ngira sawetara yuta server nanggapi HTTP / 3 lan bisa bola-bali nabrak dening eksploitasi. Utamane, perusahaan ujar manawa model kasebut nemokake bug kasebut liwat analisis binar murni - reverse-engineering Windows sing bisa dieksekusi nganggo alat kaya Ghidra sadurunge sinau kode sing direkonstruksi kanggo kelemahane.
Kernel Linux: root zero-click
Rantai kaping lima yaiku tim keamanan sing bakal kelangan turu. Model Anthropic nemokake panggunaan bebas sing disebabake dening kondisi balapan ing tumpukan jaringan kernel Linux, dilacak minangka CVE-2026-98432, lan nggawe eksploitasi sing ngirim paket jaringan menyang server apa wae sing mbukak pendengar TCP (MPTCP) multipath kanggo nglakokake perintah sewenang-wenang minangka root - ora ana interaksi pangguna, ora ana interaksi pangguna.
Eksploitasi dianggo ing rong tahap: pisanan ngalahake KASLR mbatalake kanthi nyalahake balapan kanggo micu overread sing bocor pointer kernel bali menyang panyerang; banjur overflows buffer kanggo nimpa pointer callback, chaining fungsi kernel sing wis ana nganti printah cangkang sing dipilih penyerang mlaku minangka root. Ing bukti konsep Anthropic, bocor pointer kernel butuh 48 menit, kanthi akses cangkang kira-kira limang menit mengko. Properti penting sing bisa ditindakake: kalah ing balapan mung gagal jabat tangan tanpa nabrak sistem, saengga panyerang bisa nyoba maneh tanpa wates.
Anthropic ujar manawa kerentanan kasebut ditambal ing hulu lan bali menyang kabeh cabang kernel sing stabil. Rollouts distribusi wis lagged, Nanging - The Hacker News nglaporake minggu iki yen Ubuntu lan Red Hat durung duwe kernel tetep, lan proyek Go nerbitake peringatan penasihat yen program Go ngaktifake multipath TCP kanthi standar, nyedhiyakake cacat kasebut.
Garis dasar anyar kanggo penyerang - lan pembela
Ngluwihi kewan omo individu, kiriman Anthropic nggambarake metodologi sing nggawe skala kasebut bisa ditindakake: platform sing nglakokake akeh agen pemindai kanthi paralel, ngukur pira kerentanan tambahan sing disedhiyakake saben scanner, lan ngetrapake analisis varian otomatis kanggo saben temuan sing dikonfirmasi. Perusahaan uga nyaranake mindhai ing wektu panjaluk tarik lan wis ngrilis plugin keamanan Claude Code kanthi umum kanggo tujuan kasebut.
Kanggo para pembela, Anthropic ngembangake Program Verifikasi Cyber, sing menehi akses profesional keamanan sing nduweni kualifikasi menyang kapabilitas cyber canggih lan model sing paling apik, kalebu Claude Opus 5.5, Claude Sonnet 5.5 lan Claude Mythos 5.1. Saran perusahaan tetep kethul: pindai kode sampeyan dhewe sadurunge model wong liya nindakake.
Episode kasebut minangka titik data sing jelas ing debat babagan AI lan pelanggaran cyber. Lab Frontier wis ngenteni rong taun kanggo mbantah manawa model bisa nemokake lan ngrusak kerentanan ing jagad nyata - minggu iki, paling ora, beban bukti wis ditindakake kanthi eksploitasi.
Kanggo liputan terus-terusan babagan riset keamanan AI, rilis model lan kabijakan, tindakake AI Buzz Wire.
