Anthropic har publicerat forskning som beskriver hur en av dess outgivna interna modeller upptäckte och utnyttjade allvarliga säkerhetsbrister i några av världens mest använda mjukvara – inklusive 62 korrigerade sårbarheter i Google Chrome och en fungerande exploatering som får root-åtkomst på Linux-servrar utan någon användarinteraktion alls.
Resultaten, som presenteras i ett företagsforskningsinlägg med titeln "Upptäcka och utnyttja sårbarheter i kritisk, verklig programvara med Claude", beskriver fem separata attackkedjor som spänner över Chrome, Safari, Android, Windows och Linux-kärnan. Enligt Anthropic utfördes arbetet av en outgiven intern forskningsmodell under de senaste månaderna, där varje kedja ledde till fjärrexekvering av kod eller andra kritiska effekter med liten eller ingen användarinblandning. När AI-industrin förstår vad detta betyder för mjukvarusäkerhet, fortsätter AI Buzz Wire att spåra den senaste AI-utvecklingen när de utvecklas.
Samordnat avslöjande på Anthropics villkor
Anthropic säger att de rapporterade varje sårbarhet till den drabbade leverantören under en samordnad policy för avslöjande av sårbarheter, som ger utvecklare 90 dagar på sig att korrigera och ytterligare 45 dagar innan företaget diskuterar detaljer utöver vad som redan ingår i en offentlig rådgivning. Den inramningen spelar roll: poängen med övningen var inte att släppa fungerande vapen i naturen, utan att visa – med verifierbara proof-of-concept-utnyttjningar – att frontier-modeller nu kan göra säkerhetsforskning som tidigare var området för små, högt specialiserade team.
"De inblandade färdigheterna har historiskt sett varit domänen för ett fåtal specialistteam", skrev Anthropics forskare och noterade att modeller nu kan kedja flera sårbarheter till en fungerande exploatering med lite mänsklig inblandning, och sedan bevisa det genom att producera en exploit som vem som helst kan köra och verifiera. Inlägget skrevs av Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf och Luna Tong.
Chrome: 62 CVEs, 13 sandbox escapes
De mest omfattande resultaten kom från Googles webbläsare. Efter en första uppmaning skrev Anthropics modell en fullständig exploateringskedja som exekverar godtycklig kod utanför Chromes sandlåda på en standard-macOS-maskin – proof-of-concept startar appen Kalkylator inom några sekunder efter att en sida laddats, utan ytterligare användarinteraktion.
Kedjan gick igenom fyra distinkta sårbarheter: en hög korruptionsbugg i V8 JavaScript-motorn, en andra bugg för att bryta sig ut ur V8:s minnessandlåda och besegra ASLR med en returorienterad programmeringskedja, ett tävlingstillstånd i CacheStorage som användes för att kartlägga minnet i den privilegierade webbläsarens process, och slutligen en use-after-free-funktion som tillät F federerade CM-kod att signera i CM-koden. helt och hållet.
Totalt rapporterar Anthropic att 62 CVE:er tilldelades och korrigerades från och med Chrome 156, alla klassade som kritiska eller höga, inklusive 13 sandlådeflykter och 21 sårbarheter som kunde ha använts för att äventyra renderingsprocessen.
Safari, Android och Windows
Safari-kedjan uppnådde något som utan tvekan var mer alarmerande för vanliga användare: en fullständig förbigång av samma ursprungspolicy, den grundläggande regeln som hindrar en webbplats från att läsa en annan webbplatss data. Modellen kedjade en användning efter-fri i JavaScriptCore-motorn, en flykt från WebKits Gigacage-minnesisolering och ett fel i WebContent-sandlådans IPC-mekanism – vilket gör att en skadlig sida kan läsa Safari-historik och cookies och skicka autentiserade förfrågningar till andra domäner. Apple, Anthropic noterar, bekräftade rapporten samma dag som den skickades in och implementerade en korrigering omgående.
På Android kombinerade modellen källkodsanalys, omvänd konstruktion av binärfiler för Google Play-tjänster och livetestning på en fysisk Google Pixel 9 för att bygga en exploatering som extraherar foton och personlig data från en låst telefon via USB – kringgå flödet av parningsauktorisering och det sexsiffriga kodverifieringssteget på vägen.
Windows upptäckt var en oautentiserad fjärrkrasch: en out-of-bound läsning i Windows-kärnan QUIC-implementering, nu spårad som CVE-2026-33096 och fixad av Microsoft. Anthropic uppskattar att flera miljoner servrar svarar på HTTP/3 och kunde ha kraschat upprepade gånger av utnyttjandet. Noterbart säger företaget att modellen hittade buggen genom ren binär analys - omvänd konstruktion av Windows-körbara med verktyg som Ghidra innan man studerade den rekonstruerade koden för svagheter.
Linux-kärnan: nollklick på roten
Den femte kedjan är den som säkerhetsteam sannolikt kommer att förlora sömn över. Anthropics modell upptäckte en race condition-inducerad användning-efter-fri i Linux-kärnans nätverksstack, spårad som CVE-2026-98432, och byggde en exploatering som skickar nätverkspaket till vilken server som helst som kör en multipath TCP (MPTCP) lyssnare för att exekvera godtyckliga kommandon som root – inga användaruppgifter, inga användaruppgifter.
Exploateringen fungerar i två steg: först besegrar den KASLR på distans genom att missbruka loppet för att utlösa en överläsning som läcker en kärnpekare tillbaka till angriparen; sedan svämmar det över en buffert för att skriva över en återuppringningspekare, kedjar befintliga kärnfunktioner tills ett angriparvalt skalkommando körs som root. I Anthropics proof of concept tog det 48 minuter att läcka en kärnpekare, med skalåtkomst ungefär fem minuter senare. En viktig möjliggörande egenskap: att förlora loppet misslyckas bara med handskakningen utan att krascha systemet, så en angripare kan försöka igen på obestämd tid.
Anthropic säger att sårbarheten korrigerades uppströms och backporterades till alla underhållna stabila kärngrenar. Distributionsutbyggnaderna har dock släpat efter — Hacker News rapporterade den här veckan att Ubuntu och Red Hat inte hade någon fast kärna tillgänglig ännu, och Go-projektet utfärdade en rådgivande varning om att Go-program aktiverar flervägs-TCP som standard, vilket exponerar dem för felet.
En ny baslinje för angripare — och försvarare
Utöver de enskilda buggarna beskriver Anthropics inlägg metodiken som gjorde skalan möjlig: en plattform som kör ett stort antal skanningsagenter parallellt, mäter hur många ytterligare sårbarheter varje skanner bidrar med, och tillämpar automatiserad variantanalys på varje bekräftat fynd. Företaget rekommenderar också att skanna vid pull-request-tid och har släppt en Claude Code-säkerhetsplugin offentligt för det ändamålet.
För försvarare utökar Anthropic sitt cyberverifieringsprogram, som ger kvalificerade säkerhetspersonal tillgång till avancerade cyberfunktioner och dess mest kapabla modeller, inklusive Claude Opus 5.5, Claude Sonnet 5.5 och Claude Mythos 5.1. Företagets råd är fortfarande rakt: skanna din egen kod innan någon annans modell gör det.
Avsnittet är en levande datapunkt i en pågående debatt om AI och cyberbrott. Frontier-laboratorier har tillbringat två år med att argumentera för att modeller snart kan hitta och kedja samman verkliga sårbarheter - åtminstone den här veckan har bevisbördan mötts av fungerande bedrifter.
Följ AI Buzz Wire för kontinuerlig täckning av AI-säkerhetsforskning, modellreleaser och policy.
