Firma Anthropic opublikowała badania szczegółowo opisujące, w jaki sposób jeden z jej nieopublikowanych modeli wewnętrznych odkrył i wykorzystał poważne luki w zabezpieczeniach w niektórych z najczęściej używanych programów na świecie — w tym 62 załatane luki w przeglądarce Google Chrome i działający exploit, który uzyskuje dostęp roota na serwerach Linux bez jakiejkolwiek interakcji z użytkownikiem.
Odkrycia przedstawione w firmowym poście badawczym zatytułowanym „Odkrywanie i wykorzystywanie luk w zabezpieczeniach w krytycznym, rzeczywistym oprogramowaniu za pomocą Claude” opisują pięć oddzielnych łańcuchów ataków obejmujących przeglądarki Chrome, Safari, Android, Windows i jądro Linuksa. Według Anthropic prace prowadzono w oparciu o nieopublikowany, wewnętrzny model badawczy w ciągu ostatnich kilku miesięcy, przy czym każdy łańcuch prowadził do zdalnego wykonania kodu lub innych krytycznych skutków, przy niewielkim lub żadnym zaangażowaniu użytkownika. W miarę jak branża sztucznej inteligencji analizuje, co to oznacza dla bezpieczeństwa oprogramowania, AI Buzz Wire kontynuuje śledzenie najnowszych osiągnięć w zakresie sztucznej inteligencji w miarę ich rozwoju.
Skoordynowane ujawnianie informacji na warunkach Anthropic
Anthropic twierdzi, że zgłosiło każdą lukę odpowiedniemu dostawcy w ramach skoordynowanej polityki ujawniania luk w zabezpieczeniach, która daje programistom 90 dni na załatanie i kolejne 45 dni, zanim firma omówi szczegóły wykraczające poza to, co zostało już zawarte w publicznym poradniku. To ramy mają znaczenie: celem ćwiczenia nie było wyrzucenie działającej broni do środowiska naturalnego, ale wykazanie – za pomocą możliwych do sprawdzenia exploitów weryfikujących koncepcję – że pionierskie modele mogą teraz prowadzić badania nad bezpieczeństwem, które wcześniej były domeną małych, wysoce wyspecjalizowanych zespołów.
„W przeszłości te umiejętności były domeną kilku specjalistycznych zespołów” – napisali badacze z Anthropic, zauważając, że modele mogą teraz łączyć wiele luk w zabezpieczeniach w działający exploit przy niewielkim zaangażowaniu człowieka, a następnie udowadniać to, tworząc exploit, który każdy może uruchomić i zweryfikować. Autorami postu są Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf i Luna Tong.
Chrome: 62 CVE, 13 ucieczek z piaskownicy
Najbardziej obszerne wyniki pochodziły z przeglądarki Google. Po wstępnym komunikacie model Anthropic napisał pełny łańcuch exploitów, który wykonuje dowolny kod poza piaskownicą Chrome na standardowym komputerze z systemem macOS o domyślnej konfiguracji — w ramach dowodu słuszności koncepcji uruchamia się aplikacja Kalkulator w ciągu kilku sekund od załadowania strony, bez dalszej interakcji z użytkownikiem.
Łańcuch przeszedł przez cztery różne luki: błąd powodujący uszkodzenie sterty w silniku JavaScript V8, drugi błąd umożliwiający wyrwanie się z piaskownicy pamięci V8 i pokonanie ASLR przy użyciu łańcucha programowania zorientowanego na powrót, stan wyścigu w CacheStorage używany do mapowania pamięci procesu uprzywilejowanej przeglądarki i wreszcie funkcja „use-after-free” w federacyjnej funkcji logowania FedCM w przeglądarce Chrome, która umożliwiła kodowi całkowite opuszczenie piaskownicy.
W sumie firma Anthropic podaje, że od wersji Chrome 156 przypisano i załatano 62 CVE, wszystkie z oceną krytyczną lub wysoką istotnością, w tym 13 ucieczek z piaskownicy i 21 luk w zabezpieczeniach, które można było wykorzystać do naruszenia procesu renderowania.
Safari, Android i Windows
Sieć Safari osiągnęła coś prawdopodobnie bardziej niepokojącego dla zwykłych użytkowników: całkowite ominięcie polityki tego samego pochodzenia, podstawowej zasady uniemożliwiającej jednej witrynie internetowej odczytanie danych innej witryny. Model połączył funkcję „bez użycia po” w silniku JavaScriptCore, ucieczkę przed izolacją pamięci Gigacage WebKit i lukę w mechanizmie IPC piaskownicy WebContent — umożliwiając złośliwej stronie odczytanie historii i plików cookie Safari oraz uruchomienie uwierzytelnionych żądań do innych domen. Jak zauważa Anthropic, firma Apple potwierdziła zgłoszenie tego samego dnia, w którym zostało przesłane, i niezwłocznie wdrożyła poprawkę.
W przypadku Androida model połączył analizę kodu źródłowego, inżynierię wsteczną plików binarnych usług Google Play i testy na żywo na fizycznym Google Pixel 9, aby stworzyć exploit, który wyodrębnia zdjęcia i dane osobowe z zablokowanego telefonu przez USB, omijając po drodze proces autoryzacji parowania i etap weryfikacji sześciocyfrowego kodu.
Ustaleniem systemu Windows była zdalna, nieuwierzytelniona awaria: odczyt niezgodny z dopuszczalnym zakresem w implementacji QUIC jądra systemu Windows, obecnie śledzony jako CVE-2026-33096 i naprawiony przez firmę Microsoft. Anthropic szacuje, że kilka milionów serwerów odpowiada na protokół HTTP/3 i exploit mógł wielokrotnie ulegać awariom. Warto zauważyć, że firma twierdzi, że model znalazł błąd dzięki czystej analizie binarnej — inżynierii wstecznej pliku wykonywalnego systemu Windows za pomocą narzędzi takich jak Ghidra przed zbadaniem zrekonstruowanego kodu pod kątem słabych punktów.
Jądro Linuksa: root bez kliknięcia
Piąty łańcuch to ten, przy którym zespoły bezpieczeństwa prawdopodobnie nie będą spać. Model Anthropic wykrył wywołane warunkami wyścigu użycie po zwolnieniu w stosie sieciowym jądra Linuksa, śledzone jako CVE-2026-98432, i zbudował exploit, który wysyła pakiety sieciowe do dowolnego serwera z uruchomionym wielościeżkowym odbiornikiem TCP (MPTCP) w celu wykonania dowolnych poleceń jako root — bez poświadczeń, bez interakcji z użytkownikiem.
Exploit działa dwuetapowo: najpierw pokonuje KASLR zdalnie, wykorzystując wyścig do wywołania nadmiernego odczytu, w wyniku którego wskaźnik jądra trafia z powrotem do atakującego; następnie przepełnia bufor, aby nadpisać wskaźnik wywołania zwrotnego, łącząc istniejące funkcje jądra, dopóki wybrane przez atakującego polecenie powłoki nie zostanie uruchomione jako root. W ramach dowodu koncepcji Anthropic wyciek wskaźnika jądra trwał 48 minut, a dostęp do powłoki około pięć minut później. Kluczowa właściwość umożliwiająca: przegranie wyścigu powoduje jedynie niepowodzenie uzgadniania bez zawieszania systemu, więc osoba atakująca może ponawiać próbę w nieskończoność.
Anthropic twierdzi, że luka została załatana wcześniej i przeniesiona do wszystkich utrzymywanych stabilnych gałęzi jądra. Wdrażanie dystrybucji przebiega jednak z opóźnieniem — w tym tygodniu dziennik Hacker News doniósł, że Ubuntu i Red Hat nie mają jeszcze dostępnego stałego jądra, a projekt Go wydał ostrzeżenie doradcze, że programy Go domyślnie włączają wielościeżkowy protokół TCP, narażając je na tę wadę.
Nowa baza dla atakujących i obrońców
Poza pojedynczymi błędami, post Anthropic opisuje metodologię, która umożliwiła taką skalę: platformę obsługującą równolegle dużą liczbę agentów skanujących, mierzącą, ile dodatkowych luk w zabezpieczeniach dostarcza każdy skaner i stosującą automatyczną analizę wariantów do każdego potwierdzonego ustalenia. Firma zaleca również skanowanie w czasie żądania ściągnięcia i w tym celu udostępniła publicznie wtyczkę zabezpieczającą Claude Code.
Z myślą o obrońcach Anthropic rozszerza swój Program weryfikacji cybernetycznej, który zapewnia wykwalifikowanym specjalistom ds. bezpieczeństwa dostęp do zaawansowanych możliwości cybernetycznych i najbardziej wydajnych modeli, w tym Claude Opus 5.5, Claude Sonnet 5.5 i Claude Mythos 5.1. Rada firmy pozostaje bez ogródek: zeskanuj swój własny kod, zanim zrobi to cudzy model.
Ten odcinek stanowi żywy punkt odniesienia w toczącej się debacie na temat sztucznej inteligencji i cyberprzestępstw. Laboratoria Frontier przez dwa lata argumentowały, że modele mogą wkrótce znaleźć i połączyć luki w zabezpieczeniach świata rzeczywistego — przynajmniej w tym tygodniu ciężar dowodu spotkał się z działającymi exploitami.
Aby uzyskać ciągłe informacje na temat badań nad bezpieczeństwem sztucznej inteligencji, publikacji modeli i zasad, śledź AI Buzz Wire.
