Anthropic បានបោះពុម្ពផ្សាយការស្រាវជ្រាវដែលរៀបរាប់លម្អិតអំពីរបៀបដែលគំរូខាងក្នុងដែលមិនទាន់ចេញផ្សាយរបស់វាបានរកឃើញ និងកេងប្រវ័ញ្ចភាពងាយរងគ្រោះផ្នែកសុវត្ថិភាពធ្ងន់ធ្ងរនៅក្នុងកម្មវិធីដែលប្រើយ៉ាងទូលំទូលាយបំផុតមួយចំនួនរបស់ពិភពលោក — រួមទាំងភាពងាយរងគ្រោះ 62 patched នៅក្នុង Google Chrome និងការកេងប្រវ័ញ្ចការងារដែលទទួលបានការចូលប្រើជា root នៅលើម៉ាស៊ីនមេ Linux ដោយមិនមានអន្តរកម្មអ្នកប្រើប្រាស់ទាល់តែសោះ។
ការរកឃើញនេះ បានដាក់ចេញនៅក្នុងអត្ថបទស្រាវជ្រាវរបស់ក្រុមហ៊ុនដែលមានចំណងជើងថា "ការស្វែងរក និងទាញយកភាពងាយរងគ្រោះនៅក្នុងកម្មវិធីពិភពលោកដ៏សំខាន់ជាមួយ Claude" ពិពណ៌នាអំពីបណ្តាញវាយប្រហារចំនួនប្រាំដាច់ដោយឡែកពីគ្នាដែលលាតសន្ធឹងលើ Chrome, Safari, Android, Windows និងខឺណែលលីនុច។ យោងតាម Anthropic ការងារនេះត្រូវបានអនុវត្តដោយគំរូស្រាវជ្រាវផ្ទៃក្នុងដែលមិនទាន់បានចេញផ្សាយក្នុងរយៈពេលប៉ុន្មានខែកន្លងមកនេះ ដោយខ្សែសង្វាក់នីមួយៗនាំទៅដល់ការប្រតិបត្តិកូដពីចម្ងាយ ឬផលប៉ះពាល់សំខាន់ៗផ្សេងទៀត ដោយមិនមានការចូលរួមពីអ្នកប្រើប្រាស់តិចតួច។ នៅពេលដែលឧស្សាហកម្ម AI ស្វែងយល់ពីអត្ថន័យនៃសុវត្ថិភាពផ្នែកទន់ AI Buzz Wire បន្តតាមដាន [ការវិវឌ្ឍន៍ AI ចុងក្រោយបង្អស់] (https://aibuzzwire.news) នៅពេលពួកគេលាតត្រដាង។
ការសម្របសម្រួលការបង្ហាញលើលក្ខខណ្ឌរបស់ Anthropic
Anthropic និយាយថា ខ្លួនរាយការណ៍រាល់ភាពងាយរងគ្រោះដល់អ្នកលក់ដែលរងផលប៉ះពាល់ ក្រោមគោលការណ៍នៃការបង្ហាញភាពងាយរងគ្រោះដែលបានសម្របសម្រួល ដែលផ្តល់ឱ្យអ្នកអភិវឌ្ឍន៍ 90 ថ្ងៃដើម្បីជួសជុល និង 45 ថ្ងៃទៀតមុនពេលក្រុមហ៊ុនពិភាក្សាលម្អិតលើសពីអ្វីដែលបានរួមបញ្ចូលនៅក្នុងការប្រឹក្សាសាធារណៈ។ ចំនុចសំខាន់នៃលំហាត់នេះគឺមិនមែនដើម្បីទម្លាក់អាវុធដែលធ្វើការចូលទៅក្នុងព្រៃនោះទេ ប៉ុន្តែដើម្បីបង្ហាញ — ជាមួយនឹងការកេងប្រវ័ញ្ចនៃគំនិតដែលអាចផ្ទៀងផ្ទាត់បាន — ថាគំរូព្រំដែនឥឡូវនេះអាចធ្វើការស្រាវជ្រាវសុវត្ថិភាពដែលពីមុនជាដែននៃក្រុមតូចៗដែលមានឯកទេសខ្ពស់។
អ្នកស្រាវជ្រាវរបស់ Anthropic បានសរសេរថា "ជំនាញដែលពាក់ព័ន្ធជាប្រវត្តិសាស្ត្រគឺជាដែននៃក្រុមជំនាញមួយចំនួន" ដោយកត់សម្គាល់ថាឥឡូវនេះ ម៉ូដែលអាចភ្ជាប់ភាពងាយរងគ្រោះជាច្រើនទៅជាការកេងប្រវ័ញ្ចការងារដោយមានការចូលរួមពីមនុស្សតិចតួច បន្ទាប់មកបង្ហាញវាដោយបង្កើតការកេងប្រវ័ញ្ចដែលនរណាម្នាក់អាចដំណើរការ និងផ្ទៀងផ្ទាត់បាន។ ប្រកាសនេះត្រូវបាននិពន្ធដោយ Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf និង Luna Tong ។
Chrome: 62 CVEs, 13 sandbox រត់គេចខ្លួន
លទ្ធផលទូលំទូលាយបំផុតបានមកពីកម្មវិធីរុករករបស់ Google ។ បន្ទាប់ពីការជូនដំណឹងដំបូង គំរូរបស់ Anthropic បានសរសេរខ្សែសង្វាក់កេងប្រវ័ញ្ចពេញលេញដែលដំណើរការកូដបំពាននៅខាងក្រៅប្រអប់ខ្សាច់របស់ Chrome នៅលើស្តុក ម៉ាស៊ីន macOS កំណត់រចនាសម្ព័ន្ធលំនាំដើម — ភស្តុតាងនៃគំនិតចាប់ផ្តើមកម្មវិធីគណនាក្នុងរយៈពេលប៉ុន្មានវិនាទីនៃការផ្ទុកទំព័រ ដោយមិនមានអន្តរកម្មអ្នកប្រើប្រាស់ទៀតទេ។
ខ្សែសង្វាក់នេះបានឆ្លងកាត់ភាពងាយរងគ្រោះដាច់ដោយឡែកចំនួនបួន៖ កំហុសអំពើពុករលួយច្រើននៅក្នុងម៉ាស៊ីន V8 JavaScript, កំហុសទីពីរដើម្បីបំបែកចេញពីប្រអប់ខ្សាច់សតិនៃ V8 និងកម្ចាត់ ASLR ដោយប្រើខ្សែសង្វាក់កម្មវិធីតម្រង់ទិសត្រឡប់មកវិញ លក្ខខណ្ឌប្រណាំងនៅក្នុងឃ្លាំងសម្ងាត់ដែលប្រើដើម្បីរៀបចំផែនទីអង្គចងចាំនៃដំណើរការកម្មវិធីរុករកតាមអ៊ីនធឺណិតដែលមានសិទ្ធិ ហើយទីបំផុត ការប្រើប្រាស់ដោយគ្មានសញ្ញាអនុញ្ញាតក្នុងប្រអប់ខ្សាច់ Feder របស់ Chrome ទាំងស្រុង។
សរុបមក Anthropic រាយការណ៍ថា CVEs ចំនួន 62 ត្រូវបានចាត់តាំង និងជួសជុលនៅ Chrome 156 ទាំងអស់បានវាយតម្លៃភាពធ្ងន់ធ្ងរ ឬភាពធ្ងន់ធ្ងរខ្ពស់ រួមទាំងការរត់គេចពីប្រអប់ខ្សាច់ចំនួន 13 និងភាពងាយរងគ្រោះចំនួន 21 ដែលអាចត្រូវបានប្រើដើម្បីសម្របសម្រួលដំណើរការអ្នកបង្ហាញ។
Safari, Android និង Windows
ខ្សែសង្វាក់ Safari បានសម្រេចអ្វីមួយដែលគួរឱ្យព្រួយបារម្ភជាងនេះទៅទៀតសម្រាប់អ្នកប្រើប្រាស់ប្រចាំថ្ងៃ៖ ផ្លូវវាងពេញលេញនៃគោលការណ៍ដើមដូចគ្នា ច្បាប់ជាមូលដ្ឋានដែលរក្សាគេហទំព័រមួយមិនឱ្យអានទិន្នន័យគេហទំព័រមួយផ្សេងទៀត។ ម៉ូដែលនេះបានដាក់ច្រវ៉ាក់នូវការប្រើប្រាស់មិនគិតថ្លៃនៅក្នុងម៉ាស៊ីន JavaScriptCore ការគេចចេញពីភាពឯកោនៃអង្គចងចាំ Gigacage របស់ WebKit និងកំហុសនៅក្នុងយន្តការ IPC របស់ WebContent sandbox — អនុញ្ញាតឱ្យទំព័រព្យាបាទអានប្រវត្តិ Safari និង cookies និងបាញ់សំណើដែលផ្ទៀងផ្ទាត់ទៅដែនផ្សេងទៀត។ Apple, Anthropic notes បានទទួលស្គាល់របាយការណ៍នេះនៅថ្ងៃដដែលដែលវាត្រូវបានបញ្ជូន និងអនុវត្តការដោះស្រាយភ្លាមៗ។
នៅលើប្រព័ន្ធប្រតិបត្តិការ Android គំរូនេះរួមបញ្ចូលគ្នានូវការវិភាគប្រភពកូដ វិស្វកម្មបញ្ច្រាសនៃប្រព័ន្ធគោលពីរនៃសេវាកម្ម Google Play និងការធ្វើតេស្តផ្ទាល់នៅលើ Google Pixel 9 ដើម្បីបង្កើតការកេងប្រវ័ញ្ចដែលទាញយករូបថត និងទិន្នន័យផ្ទាល់ខ្លួនពីទូរស័ព្ទជាប់សោតាម USB — រំលងលំហូរការអនុញ្ញាតការផ្គូផ្គង និងជំហានផ្ទៀងផ្ទាត់លេខកូដប្រាំមួយខ្ទង់តាមផ្លូវ។
ការរកឃើញរបស់ Windows គឺជាការគាំងពីចម្ងាយ ដែលមិនមានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ៖ ការហួសព្រំដែនដែលបានអាននៅក្នុងការអនុវត្ត QUIC របស់ខឺណែល Windows ឥឡូវនេះត្រូវបានតាមដានជា CVE-2026-33096 និងជួសជុលដោយ Microsoft ។ Anthropic ប៉ាន់ប្រមាណថា servers ជាច្រើនលានឆ្លើយតបទៅនឹង HTTP/3 ហើយអាចត្រូវបានគាំងម្តងហើយម្តងទៀតដោយការកេងប្រវ័ញ្ច។ គួរកត់សម្គាល់ថាក្រុមហ៊ុននិយាយថាគំរូនេះបានរកឃើញកំហុសតាមរយៈការវិភាគប្រព័ន្ធគោលពីរសុទ្ធ - បញ្ច្រាសវិស្វកម្មវីនដូដែលអាចប្រតិបត្តិបានដោយប្រើឧបករណ៍ដូចជា Ghidra មុនពេលសិក្សាកូដដែលបានបង្កើតឡើងវិញសម្រាប់ចំណុចខ្សោយ។
ខឺណែលលីនុច៖ សូន្យចុចឫស
ខ្សែសង្វាក់ទីប្រាំគឺក្រុមសន្តិសុខមួយទំនងជាបាត់បង់ដំណេក។ គំរូរបស់ Anthropic បានរកឃើញការប្រណាំងដែលបង្កឡើងដោយការប្រើប្រាស់បន្ទាប់ពីមិនគិតថ្លៃនៅក្នុងជង់បណ្តាញរបស់ខឺណែលលីនុច ដែលត្រូវបានតាមដានជា CVE-2026-98432 និងបានបង្កើតការកេងប្រវ័ញ្ចដែលផ្ញើកញ្ចប់បណ្តាញទៅម៉ាស៊ីនមេណាមួយដែលដំណើរការកម្មវិធីស្តាប់ពហុផ្លូវ TCP (MPTCP) ដើម្បីប្រតិបត្តិពាក្យបញ្ជាតាមអំពើចិត្តជា root ដោយគ្មានអ្នកប្រើប្រាស់
ការកេងប្រវ័ញ្ចដំណើរការជាពីរដំណាក់កាល៖ ដំបូងវាកម្ចាត់ KASLR ពីចម្ងាយដោយបំពានលើការប្រណាំង ដើម្បីបង្កឱ្យមានការអានលើសដែលលេចធ្លាយទ្រនិចខឺណែលត្រឡប់ទៅអ្នកវាយប្រហារវិញ។ បន្ទាប់មកវាហូរហៀរលើបណ្តុំដើម្បីសរសេរជាន់ពីលើទ្រនិចហៅត្រលប់ ដោយដាក់ច្រវាក់មុខងារខឺណែលដែលមានស្រាប់ រហូតដល់ពាក្យបញ្ជាសែលដែលជ្រើសរើសដោយអ្នកវាយប្រហារដំណើរការជា root ។ នៅក្នុងភស្តុតាងនៃគំនិតរបស់ Anthropic ការលេចធ្លាយទ្រនិចខឺណែលចំណាយពេល 48 នាទី ជាមួយនឹងការចូលប្រើសែលប្រហែល 5 នាទីក្រោយមក។ ទ្រព្យសម្បត្តិដែលអាចអនុញ្ញាតបានសំខាន់៖ ការបាត់បង់ការប្រណាំងគ្រាន់តែបរាជ័យក្នុងការចាប់ដៃដោយមិនគាំងប្រព័ន្ធ ដូច្នេះអ្នកវាយប្រហារអាចព្យាយាមម្តងទៀតដោយគ្មានកំណត់។
Anthropic និយាយថា ភាពងាយរងគ្រោះត្រូវបានជួសជុលឡើងលើ និងបញ្ជូនត្រឡប់ទៅកាន់សាខាខឺណែលដែលមានស្ថេរភាពទាំងអស់។ ទោះជាយ៉ាងណាក៏ដោយ ការចេញផ្សាយការចែកចាយមានភាពយឺតយ៉ាវ — The Hacker News បានរាយការណ៍នៅសប្តាហ៍នេះថា Ubuntu និង Red Hat មិនមានខឺណែលថេរដែលអាចរកបាននៅឡើយទេ ហើយគម្រោង Go បានចេញការព្រមានថាកម្មវិធី Go បើកដំណើរការ Multipath TCP តាមលំនាំដើម ដោយបង្ហាញពីកំហុសឆ្គង។
មូលដ្ឋានថ្មីសម្រាប់អ្នកវាយប្រហារ — និងអ្នកការពារ
លើសពីកំហុសបុគ្គល ការបង្ហោះរបស់ Anthropic ពិពណ៌នាអំពីវិធីសាស្រ្តដែលធ្វើឱ្យមាត្រដ្ឋានអាចធ្វើទៅបាន៖ វេទិកាដែលដំណើរការភ្នាក់ងារស្កែនចំនួនច្រើនស្របគ្នា ការវាស់វែងថាតើភាពងាយរងគ្រោះបន្ថែមចំនួនប៉ុន្មានដែលម៉ាស៊ីនស្កេននីមួយៗរួមចំណែក និងអនុវត្តការវិភាគបំរែបំរួលដោយស្វ័យប្រវត្តិចំពោះរាល់ការរកឃើញដែលបានបញ្ជាក់។ ក្រុមហ៊ុនក៏ផ្តល់អនុសាសន៍ឱ្យស្កេននៅពេលទាញសំណើ ហើយបានចេញផ្សាយកម្មវិធីជំនួយសុវត្ថិភាព Claude Code ជាសាធារណៈសម្រាប់គោលបំណងនោះ។
សម្រាប់អ្នកការពារ Anthropic កំពុងពង្រីកកម្មវិធី Cyber Verification Program របស់ខ្លួន ដែលផ្តល់ឱ្យអ្នកជំនាញសុវត្ថិភាពដែលមានលក្ខណៈសម្បត្តិគ្រប់គ្រាន់អាចចូលទៅកាន់សមត្ថភាពអ៊ីនធឺណេតកម្រិតខ្ពស់ និងម៉ូដែលដែលមានសមត្ថភាពបំផុតរបស់វា រួមមាន Claude Opus 5.5, Claude Sonnet 5.5 និង Claude Mythos 5.1។ ដំបូន្មានរបស់ក្រុមហ៊ុននៅតែមិនច្បាស់លាស់៖ ស្កេនលេខកូដផ្ទាល់ខ្លួនរបស់អ្នក មុនពេលគំរូរបស់នរណាម្នាក់។
វគ្គនេះគឺជាចំណុចទិន្នន័យដ៏រស់រវើកនៅក្នុងការជជែកដេញដោលដែលកំពុងបន្តអំពី AI និងបទល្មើសតាមអ៊ីនធឺណិត។ មន្ទីរពិសោធន៍ Frontier បានចំណាយពេល 2 ឆ្នាំដើម្បីជជែកវែកញែកថា ម៉ូដែលអាចរកឃើញ និងដាក់ខ្សែសង្វាក់ភាពងាយរងគ្រោះក្នុងពិភពពិត - នៅសប្តាហ៍នេះ យ៉ាងហោចណាស់ បន្ទុកនៃភស្តុតាងត្រូវបានជួបជាមួយនឹងការកេងប្រវ័ញ្ចការងារ។
សម្រាប់ការគ្របដណ្តប់បន្តនៃការស្រាវជ្រាវសុវត្ថិភាព AI ការចេញផ្សាយគំរូ និងគោលការណ៍ សូមអនុវត្តតាម AI Buzz Wire។
