Anthropic heeft onderzoek gepubliceerd waarin gedetailleerd wordt beschreven hoe een van zijn nog niet uitgebrachte interne modellen ernstige beveiligingskwetsbaarheden ontdekte en exploiteerde in enkele van 's werelds meest gebruikte software - waaronder 62 gepatchte kwetsbaarheden in Google Chrome en een werkende exploit die root-toegang verkrijgt op Linux-servers zonder enige gebruikersinteractie.
De bevindingen, uiteengezet in een onderzoekspost van het bedrijf getiteld "Discovering and exploiting vulnerabilitys in critical, real-world software with Claude", beschrijven vijf afzonderlijke aanvalsketens die zich uitstrekken over Chrome, Safari, Android, Windows en de Linux-kernel. Volgens Anthropic werd het werk de afgelopen maanden uitgevoerd door een nog niet vrijgegeven intern onderzoeksmodel, waarbij elke keten leidde tot uitvoering van code op afstand of andere kritische gevolgen met weinig tot geen betrokkenheid van de gebruiker. Terwijl de AI-industrie zich verdiept in wat dit betekent voor softwarebeveiliging, blijft AI Buzz Wire [de nieuwste AI-ontwikkelingen] (https://aibuzzwire.new) volgen terwijl ze zich ontvouwen.
Gecoördineerde openbaarmaking op de voorwaarden van Anthropic
Anthropic zegt dat het elke kwetsbaarheid aan de getroffen leverancier heeft gerapporteerd onder een gecoördineerd beleid voor het vrijgeven van kwetsbaarheden, dat ontwikkelaars 90 dagen de tijd geeft om te patchen en nog eens 45 dagen voordat het bedrijf details bespreekt die verder gaan dan wat al in een openbaar advies is opgenomen. Die framing is van belang: het doel van de oefening was niet om werkende wapens in het wild te laten vallen, maar om aan te tonen – met verifieerbare proof-of-concept exploits – dat grensmodellen nu veiligheidsonderzoek kunnen doen dat voorheen het domein was van kleine, zeer gespecialiseerde teams.
"De betrokken vaardigheden zijn historisch gezien het domein van een paar gespecialiseerde teams", schreven de onderzoekers van Anthropic, waarbij ze opmerkten dat modellen nu meerdere kwetsbaarheden kunnen koppelen aan een werkende exploit met weinig menselijke tussenkomst, en deze vervolgens kunnen bewijzen door een exploit te produceren die iedereen kan uitvoeren en verifiëren. Het bericht is geschreven door Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf en Luna Tong.
Chrome: 62 CVE's, 13 sandbox-ontsnappingen
De meest uitgebreide resultaten kwamen uit de browser van Google. Na een eerste prompt schreef het model van Anthropic een volledige exploitketen die willekeurige code buiten de sandbox van Chrome uitvoert op een standaard macOS-machine met standaardconfiguratie - het proof-of-concept start de Calculator-app binnen enkele seconden nadat een pagina is geladen, zonder verdere gebruikersinteractie.
De keten doorliep vier verschillende kwetsbaarheden: een heap-corruptiebug in de V8 JavaScript-engine, een tweede bug om uit de geheugensandbox van V8 te breken en ASLR te verslaan met behulp van een return-georiënteerde programmeerketen, een race condition in CacheStorage die werd gebruikt om het geprivilegieerde browserproces in kaart te brengen.
In totaal meldt Anthropic dat vanaf Chrome 156 62 CVE's zijn toegewezen en gepatcht, die allemaal als kritiek of zeer ernstig zijn beoordeeld, waaronder 13 sandbox-ontsnappingen en 21 kwetsbaarheden die gebruikt hadden kunnen worden om het rendererproces in gevaar te brengen.
Safari, Android en Windows
De Safari-keten heeft iets bereikt dat aantoonbaar alarmerender is voor gewone gebruikers: een volledige omzeiling van het beleid van dezelfde oorsprong, de fundamentele regel die de ene website ervan weerhoudt de gegevens van een andere site te lezen. Het model combineerde een use-after-free in de JavaScriptCore-engine, een ontsnapping uit WebKit's Gigacage-geheugenisolatie en een fout in het IPC-mechanisme van de WebContent-sandbox - waardoor een kwaadwillende pagina de Safari-geschiedenis en cookies kon lezen en geverifieerde verzoeken naar andere domeinen kon afvuren. Apple, merkt Anthropic op, erkende het rapport dezelfde dag dat het werd ingediend en implementeerde onmiddellijk een oplossing.
Op Android combineerde het model broncodeanalyse, reverse engineering van binaire bestanden van Google Play-services en live testen op een fysieke Google Pixel 9 om een exploit te bouwen die foto's en persoonlijke gegevens uit een vergrendelde telefoon haalt via USB - waarbij de autorisatiestroom voor het koppelen en de zescijferige codeverificatiestap onderweg wordt omzeild.
De Windows-bevinding was een externe, niet-geverifieerde crash: een leesfout in de QUIC-implementatie van de Windows-kernel, nu bijgehouden als CVE-2026-33096 en opgelost door Microsoft. Anthropic schat dat enkele miljoenen servers op HTTP/3 reageren en herhaaldelijk door de exploit kunnen zijn gecrasht. Het bedrijf zegt met name dat het model de bug heeft gevonden via pure binaire analyse: het reverse-engineeren van het Windows-uitvoerbare bestand met tools als Ghidra voordat de gereconstrueerde code op zwakke punten is onderzocht.
De Linux-kernel: zero-click root
De vijfde keten is de keten waar beveiligingsteams waarschijnlijk hun slaap over zullen verliezen. Het model van Anthropic ontdekte een door racecondities veroorzaakte use-after-free in de netwerkstack van de Linux-kernel, bijgehouden als CVE-2026-98432, en bouwde een exploit die netwerkpakketten naar elke server stuurt waarop een multipath TCP (MPTCP)-listener draait om willekeurige opdrachten als root uit te voeren - geen inloggegevens, geen gebruikersinteractie.
De exploit werkt in twee fasen: ten eerste verslaat het KASLR op afstand door misbruik te maken van de race om een overread te activeren die een kernelpointer teruglekt naar de aanvaller; vervolgens overloopt het een buffer om een callback-pointer te overschrijven, waarbij bestaande kernelfuncties worden gekoppeld totdat een door de aanvaller gekozen shell-commando als root wordt uitgevoerd. In Anthropic's proof of concept duurde het lekken van een kernelpointer 48 minuten, terwijl toegang tot de shell ongeveer vijf minuten later volgde. Een belangrijke eigenschap: het verliezen van de race mislukt alleen maar de handdruk zonder het systeem te laten crashen, zodat een aanvaller het voor onbepaalde tijd opnieuw kan proberen.
Anthropic zegt dat de kwetsbaarheid stroomopwaarts is gepatcht en is teruggestuurd naar alle onderhouden stabiele kerneltakken. De uitrol van de distributie is echter achtergebleven: The Hacker News meldde deze week dat Ubuntu en Red Hat nog geen vaste kernel beschikbaar hadden, en het Go-project gaf een adviserende waarschuwing dat Go-programma's standaard multipath TCP inschakelen, waardoor ze aan de fout werden blootgesteld.
Een nieuwe basislijn voor aanvallers — en verdedigers
Naast de individuele bugs beschrijft het bericht van Anthropic de methodologie die de schaal mogelijk maakte: een platform dat grote aantallen scanagenten parallel draait, meet hoeveel extra kwetsbaarheden elke scanner bijdraagt, en geautomatiseerde variantanalyse toepast op elke bevestigde bevinding. Het bedrijf raadt ook aan om te scannen tijdens het pull-request-tijdstip en heeft voor dat doel een Claude Code-beveiligingsplug-in publiekelijk uitgebracht.
Voor verdedigers breidt Anthropic zijn Cyber Verification Program uit, dat gekwalificeerde beveiligingsprofessionals toegang geeft tot geavanceerde cybermogelijkheden en de meest capabele modellen, waaronder Claude Opus 5.5, Claude Sonnet 5.5 en Claude Mythos 5.1. Het advies van het bedrijf blijft bot: scan je eigen code voordat het model van iemand anders dat doet.
De aflevering is een levendig datapunt in een voortdurend debat over AI en cybercriminaliteit. Frontierlabs hebben twee jaar lang betoogd dat modellen binnenkort kwetsbaarheden in de echte wereld zouden kunnen vinden en aan elkaar kunnen koppelen – deze week is de bewijslast tenminste voldaan met werkende exploits.
Volg AI Buzz Wire voor voortdurende berichtgeving over AI-beveiligingsonderzoek, modelreleases en beleid.
