Anthropic опублікував дослідження, в якому докладно розповідається про те, як одна з неопублікованих внутрішніх моделей виявила та використала серйозні вразливості безпеки в деяких із найпоширеніших програм у світі, зокрема 62 виправлені вразливості в Google Chrome і робочий експлойт, який отримує кореневий доступ на серверах Linux без жодної взаємодії з користувачем.
Висновки, викладені в дослідницькій публікації компанії під назвою «Виявлення та використання вразливостей у важливому реальному програмному забезпеченні з Клодом», описують п’ять окремих ланцюжків атак, що охоплюють Chrome, Safari, Android, Windows і ядро Linux. За словами Anthropic, робота проводилася за допомогою неопублікованої моделі внутрішнього дослідження протягом останніх кількох місяців, причому кожен ланцюжок приводив до віддаленого виконання коду або інших критичних впливів практично без участі користувача. Поки галузь штучного інтелекту вивчає, що це означає для безпеки програмного забезпечення, AI Buzz Wire продовжує відстежувати [останні розробки штучного інтелекту] (https://aibuzzwire.news) у міру їх розвитку.
Скоординоване розкриття інформації на умовах Anthropic
Anthropic каже, що повідомляє про кожну вразливість ураженого постачальника відповідно до скоординованої політики розкриття вразливостей, яка дає розробникам 90 днів для виправлення та ще 45 днів до того, як компанія обговорить деталі, окрім того, що вже включено в публічну консультацію. Це формування має значення: сенс навчань полягав не в тому, щоб скинути діючу зброю в дику природу, а в тому, щоб продемонструвати — за допомогою перевірених експериментів, — що передові моделі тепер можуть проводити дослідження безпеки, які раніше були сферою діяльності невеликих вузькоспеціалізованих команд.
«Історично ці навички належали кільком командам спеціалістів», — пишуть дослідники Anthropic, зазначаючи, що тепер моделі можуть об’єднати численні вразливості в робочий експлойт без участі людини, а потім довести це, створивши експлойт, який кожен може запустити та перевірити. Авторами публікації є Ніколас Карліні, Девід Дворкен, Сіньян Ге, Бен Морріс, Мілад Наср, Кріс Ролф і Луна Тонг.
Chrome: 62 CVE, 13 екранів пісочниці
Найбільш широкі результати отримані від браузера Google. Після початкової підказки модель Anthropic написала повний ланцюжок експлойтів, який виконує довільний код поза пісочним програмним середовищем Chrome на стандартній машині macOS із конфігурацією за замовчуванням — підтвердження концепції запускає програму Calculator протягом кількох секунд після завантаження сторінки без подальшої взаємодії з користувачем.
Ланцюжок пройшов через чотири окремі вразливості: помилку пошкодження купи в движку JavaScript V8, другу помилку виходу з пісочниці пам’яті V8 і поразки ASLR за допомогою ланцюжка програмування, орієнтованого на повернення, умову змагання в CacheStorage, що використовується для відображення пам’яті привілейованого процесу браузера, і, нарешті, використання після звільнення у функції федеративного входу FedCM у Chrome, яка дозволяла виходити коду. пісочниця цілком.
Загалом Anthropic повідомляє, що починаючи з Chrome 156 було призначено та виправлено 62 CVE, усі вони оцінені як критичні або високого рівня серйозності, включаючи 13 вихідних схем ізольованого програмного середовища та 21 уразливість, які могли бути використані для компрометації процесу візуалізації.
Safari, Android і Windows
Мережа Safari досягла чогось, мабуть, більш тривожного для звичайних користувачів: повного обходу політики однакового походження, основного правила, яке не дозволяє одному веб-сайту читати дані іншого сайту. Модель зв’язала використання після безкоштовного використання в движку JavaScriptCore, вихід із ізоляції пам’яті Gigacage WebKit і недолік у механізмі IPC ізольованого програмного середовища WebContent — дозволяючи зловмисній сторінці читати історію Safari та файли cookie та запускати автентифіковані запити до інших доменів. Apple, як зазначає Anthropic, визнала звіт того самого дня, коли він був поданий, і негайно впровадила виправлення.
На Android модель поєднала аналіз вихідного коду, зворотне проектування двійкових файлів сервісів Google Play і тестування в реальному часі на фізичному Google Pixel 9, щоб створити експлойт, який витягує фотографії та особисті дані із заблокованого телефону через USB, минаючи потік авторизації сполучення та етап перевірки шестизначного коду.
Знахідкою Windows був віддалений неавтентифікований збій: читання поза межами реалізації QUIC ядра Windows, яке зараз відстежується як CVE-2026-33096 і виправлено Microsoft. За оцінками Anthropic, кілька мільйонів серверів відповідають на HTTP/3 і могли неодноразово виходити з ладу через експлойт. Примітно, що компанія каже, що модель виявила помилку за допомогою чистого двійкового аналізу — зворотного проектування виконуваного файлу Windows за допомогою таких інструментів, як Ghidra, перш ніж вивчати реконструйований код на недоліки.
Ядро Linux: корінь без клацання
П’ятий ланцюжок – це той, який, швидше за все, втратить сон. Модель Anthropic виявила в мережевому стеку ядра Linux спричинене гоночною умовою використання після звільнення, яке відстежується як CVE-2026-98432, і створило експлойт, який надсилає мережеві пакети на будь-який сервер, на якому запущено багатошляховий TCP (MPTCP) слухач для виконання довільних команд від імені root — без облікових даних і без взаємодії з користувачем.
Експлойт працює у два етапи: спочатку він дистанційно знищує KASLR, зловживаючи перегонами, щоб ініціювати перечитування, яке передає вказівник на ядро назад до зловмисника; потім він переповнює буфер, щоб перезаписати вказівник зворотного виклику, об’єднуючи існуючі функції ядра, доки обрана зловмисником команда оболонки не запуститься від імені користувача root. У доказі концепції Anthropic витік вказівника на ядро зайняв 48 хвилин, а доступ до оболонки — приблизно через п’ять хвилин. Ключова активна властивість: програш у перегонах просто завершує рукостискання без збою системи, тому зловмисник може повторювати спроби нескінченно довго.
Anthropic каже, що вразливість було виправлено вгорі та перенесено на всі підтримувані стабільні гілки ядра. Однак розгортання розповсюдження відстало — цього тижня The Hacker News повідомило, що Ubuntu і Red Hat ще не мають доступного фіксованого ядра, а проект Go випустив попереджувальне попередження про те, що програми Go за замовчуванням увімкнули багатошляховий TCP, наражаючи їх на недолік.
Нова база для нападників — і захисників
Окрім окремих помилок, публікація Anthropic описує методологію, яка уможливила масштабування: платформа, яка паралельно запускає велику кількість агентів сканування, вимірює, скільки додаткових уразливостей створює кожен сканер, і застосовує автоматизований аналіз варіантів до кожного підтвердженого результату. Компанія також рекомендує сканувати під час запиту на підключення та випустила плагін безпеки Claude Code для цієї мети.
Для захисників Anthropic розширює свою програму кіберперевірки, яка надає кваліфікованим фахівцям із безпеки доступ до розширених кіберможливостей і найефективніших моделей, зокрема Claude Opus 5.5, Claude Sonnet 5.5 і Claude Mythos 5.1. Порада компанії залишається прямою: скануйте свій власний код, перш ніж це зробить чиясь модель.
Цей епізод є яскравою точкою даних у триваючих дебатах про ШІ та кіберзлочин. Передові лабораторії витратили два роки, стверджуючи, що моделі незабаром зможуть знаходити та об’єднувати вразливі місця в реальному світі — принаймні цього тижня тягар доказів витримали робочі експлойти.
Для постійного висвітлення досліджень безпеки штучного інтелекту, випусків моделей і політики читайте AI Buzz Wire.
