Anthropic imechapisha utafiti unaoeleza jinsi moja ya miundo yake ya ndani ambayo haijatolewa iligundua na kutumia udhaifu mkubwa wa kiusalama katika baadhi ya programu zinazotumika sana duniani - ikiwa ni pamoja na udhaifu ulio na viraka 62 kwenye Google Chrome na matumizi makubwa ambayo yanapata ufikiaji wa mizizi kwenye seva za Linux bila mwingiliano wa mtumiaji hata kidogo.
Matokeo hayo, yaliyowekwa katika chapisho la utafiti wa kampuni yenye jina la "Kugundua na kutumia udhaifu katika programu muhimu, ya ulimwengu halisi na Claude," inaelezea misururu mitano tofauti ya uvamizi inayozunguka Chrome, Safari, Android, Windows na Linux kernel. Kulingana na Anthropic, kazi hiyo ilifanywa na muundo wa utafiti wa ndani ambao haujatolewa katika miezi michache iliyopita, na kila mlolongo uliongoza kwa utekelezaji wa nambari za mbali au athari zingine muhimu bila ushiriki wowote wa mtumiaji. Sekta ya AI inapochambua maana ya hii kwa usalama wa programu, AI Buzz Wire inaendelea kufuatilia maendeleo ya hivi punde ya AI yanapoendelea.
Ufichuzi ulioratibiwa wa masharti ya Anthropic
Anthropic inasema iliripoti kila udhaifu kwa muuzaji aliyeathiriwa chini ya sera iliyoratibiwa ya ufichuzi wa uwezekano, ambayo huwapa wasanidi programu siku 90 kurekebisha na siku 45 zaidi kabla ya kampuni kujadili maelezo zaidi ya yale ambayo tayari yamejumuishwa katika ushauri wa umma. Muundo huo ni muhimu: lengo la zoezi hilo halikuwa kuangusha silaha za kazi porini, lakini kuonyesha - kwa ushujaa unaoweza kuthibitishwa - kwamba mifano ya mipaka sasa inaweza kufanya utafiti wa usalama ambao hapo awali ulikuwa uwanja wa timu ndogo, zilizobobea sana.
"Ujuzi unaohusika kihistoria umekuwa kikoa cha timu chache za wataalamu," watafiti wa Anthropic waliandika, wakibainisha kuwa wanamitindo sasa wanaweza kuingiza udhaifu mwingi katika unyonyaji wa kufanya kazi na ushiriki mdogo wa kibinadamu, kisha uthibitishe kwa kutoa unyonyaji ambao mtu yeyote anaweza kukimbia na kuthibitisha. Chapisho hilo liliandikwa na Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf na Luna Tong.
Chrome: 62 CVE, 13 sandbox avoids
Matokeo ya kina zaidi yalikuja kutoka kwa kivinjari cha Google. Baada ya arifa ya awali, muundo wa Anthropic uliandika msururu kamili wa matumizi ambao hutekeleza msimbo kiholela nje ya sandbox ya Chrome kwenye hisa, mashine ya usanidi-msingi ya macOS - uthibitisho wa dhana huzindua programu ya Kikokotoo ndani ya sekunde za upakiaji wa ukurasa, bila mwingiliano wowote wa mtumiaji.
Msururu ulipitia athari nne tofauti: hitilafu kubwa ya ufisadi katika injini ya V8 JavaScript, hitilafu ya pili kutoka kwenye sanduku la kumbukumbu la V8 na kushindwa ASLR kwa kutumia msururu wa programu unaolenga kurudi, hali ya mbio katika CacheStorage inayotumiwa kuweka kumbukumbu ya mchakato wa kivinjari uliobahatika, na hatimaye utumiaji-baada wa kutoroka kwenye kipengele cha saini cha Chrome kilichoruhusiwa kutumia baada ya kumalizika kwa misimbo ya Chrome. kabisa.
Kwa jumla, Anthropic inaripoti kuwa CVE 62 ziliwekwa na kuwekwa viraka kuanzia Chrome 156, zote zilikadiriwa kuwa mbaya au kali, ikijumuisha kutoroka kwa sanduku la mchanga 13 na udhaifu 21 ambao ungeweza kutumika kuathiri mchakato wa kionyeshi.
Safari, Android na Windows
Msururu wa Safari ulipata jambo la kuogofya zaidi kwa watumiaji wa kila siku: ukiukaji kamili wa sera ya asili moja, sheria ya msingi inayozuia tovuti moja kusoma data ya tovuti nyingine. Muundo huu uliunganisha utumiaji bila malipo katika injini ya JavaScriptCore, kutoroka kutoka kwa utengaji wa kumbukumbu ya Gigacage ya WebKit, na hitilafu katika utaratibu wa IPC wa WebContent sandbox - kuruhusu ukurasa hasidi kusoma historia ya Safari na vidakuzi na kutuma maombi yaliyothibitishwa kwa vikoa vingine. Apple, maelezo ya Anthropic, ilikubali ripoti siku ile ile ilipowasilishwa na kutekeleza marekebisho mara moja.
Kwenye Android, muundo huu ulijumuisha uchanganuzi wa msimbo wa chanzo, uhandisi wa kubadilisha mfumo wa jozi za huduma za Google Play, na majaribio ya moja kwa moja kwenye Google Pixel 9 halisi ili kuunda matumizi ambayo hutoa picha na data ya kibinafsi kutoka kwa simu iliyofungwa kupitia USB - kwa kukwepa mtiririko wa uidhinishaji wa kuoanisha na hatua ya uthibitishaji ya nambari sita.
Ugunduzi wa Windows ulikuwa ajali ya mbali, ambayo haijathibitishwa: kusomwa nje ya mipaka katika utekelezaji wa QUIC wa kernel ya Windows, ambayo sasa inafuatiliwa kama CVE-2026-33096 na kusasishwa na Microsoft. Anthropic inakadiria seva milioni kadhaa hujibu HTTP/3 na zingeweza kuharibika mara kwa mara na matumizi hayo. Hasa, kampuni inasema modeli hiyo ilipata hitilafu kupitia uchanganuzi safi wa binary - kubadilisha-uhandisi wa Windows inayoweza kutekelezwa kwa zana kama Ghidra kabla ya kusoma msimbo ulioundwa upya kwa udhaifu.
Kiini cha Linux: mzizi wa kubofya sifuri
Mlolongo wa tano ni timu moja ya usalama ambayo huenda ikakosa usingizi. Muundo wa Anthropic uligundua matumizi ya bila malipo yanayotokana na hali ya mbio katika safu ya mtandao ya Linux kernel, iliyofuatiliwa kama CVE-2026-98432, na ikaunda matumizi ambayo hutuma pakiti za mtandao kwa seva yoyote inayoendesha msikilizaji wa njia nyingi za TCP (MPTCP) ili kutekeleza amri zisizo na msingi kama mzizi, hakuna kitambulisho cha mtumiaji.
Unyonyaji hufanya kazi katika hatua mbili: kwanza hushinda KASLR kwa mbali kwa kutumia vibaya mbio ili kusababisha usomaji kupita kiasi ambao huvuja kielekezi cha kernel kurudi kwa mshambuliaji; kisha inajaza bafa ili kubatilisha kielekezi cha kurudisha nyuma, ikifunga mnyororo utendakazi wa kernel hadi amri ya ganda iliyochaguliwa na mshambulizi iendeshe kama mzizi. Katika uthibitisho wa dhana ya Anthropic, kuvuja kwa kiashiria cha kernel kulichukua dakika 48, na ufikiaji wa ganda takriban dakika tano baadaye. Sifa kuu ya kuwezesha: kupoteza mbio hushindwa tu kupeana mkono bila kuharibu mfumo, kwa hivyo mvamizi anaweza kujaribu tena kwa muda usiojulikana.
Anthropic anasema udhaifu huo uliwekwa viraka juu ya mkondo na kurudishwa kwa matawi yote ya kernel yaliyodumishwa. Utoaji wa usambazaji umechelewa, hata hivyo - The Hacker News iliripoti wiki hii kwamba Ubuntu na Red Hat hazikuwa na kernel isiyobadilika bado, na mradi wa Go ulitoa onyo la ushauri kwamba programu za Go huwezesha TCP kuzidisha kwa chaguo-msingi, na kuziweka kwenye dosari.
Msingi mpya wa washambuliaji — na mabeki
Zaidi ya hitilafu mahususi, chapisho la Anthropic linaeleza mbinu iliyowezesha ukubwa: jukwaa linaloendesha idadi kubwa ya mawakala wa kuchanganua sambamba, kupima ni udhaifu ngapi wa ziada ambao kila kichanganuzi huchangia, na kutumia uchanganuzi wa lahaja otomatiki kwa kila matokeo yaliyothibitishwa. Kampuni pia inapendekeza kuchanganua wakati wa ombi la kuvuta na imetoa programu-jalizi ya usalama ya Msimbo wa Claude hadharani kwa madhumuni hayo.
Kwa watetezi, Anthropic inapanua Mpango wake wa Uthibitishaji wa Mtandao, ambao huwapa wataalamu wa usalama wanaohitimu ufikiaji wa uwezo wa hali ya juu wa mtandao na miundo yake yenye uwezo zaidi, ikijumuisha Claude Opus 5.5, Claude Sonnet 5.5 na Claude Mythos 5.1. Ushauri wa kampuni bado haueleweki: changanua msimbo wako mwenyewe kabla ya mfano wa mtu mwingine kufanya.
Kipindi hiki ni sehemu ya data wazi katika mjadala unaoendelea kuhusu AI na makosa ya mtandao. Maabara ya Frontier yametumia miaka miwili wakibishana kwamba wanamitindo wanaweza kupata hivi karibuni na kujumuisha udhaifu wa ulimwengu halisi - wiki hii, angalau, mzigo wa uthibitisho umekabiliwa na unyonyaji wa kufanya kazi.
Kwa matumizi endelevu ya utafiti wa usalama wa AI, matoleo ya miundo na sera, fuata AI Buzz Wire.
