Anthropic đã công bố nghiên cứu chi tiết về cách một trong những mô hình nội bộ chưa được phát hành của họ đã phát hiện và khai thác các lỗ hổng bảo mật nghiêm trọng trong một số phần mềm được sử dụng rộng rãi nhất trên thế giới - bao gồm 62 lỗ hổng được vá trong Google Chrome và một cách khai thác đang hoạt động để giành quyền truy cập root trên máy chủ Linux mà không cần sự tương tác của người dùng.
Các phát hiện này được trình bày trong một bài nghiên cứu của công ty có tiêu đề “Khám phá và khai thác các lỗ hổng trong phần mềm thực tế quan trọng với Claude”, mô tả 5 chuỗi tấn công riêng biệt trải rộng trên Chrome, Safari, Android, Windows và nhân Linux. Theo Anthropic, công việc này được thực hiện bởi một mô hình nghiên cứu nội bộ chưa được phát hành trong vài tháng qua, với mỗi chuỗi dẫn đến việc thực thi mã từ xa hoặc các tác động quan trọng khác mà có rất ít hoặc không có sự tham gia của người dùng. Khi ngành AI hiểu rõ ý nghĩa của điều này đối với bảo mật phần mềm, AI Buzz Wire tiếp tục theo dõi những phát triển AI mới nhất khi chúng diễn ra.
Phối hợp tiết lộ các điều khoản của Anthropic
Anthropic cho biết họ đã báo cáo mọi lỗ hổng cho nhà cung cấp bị ảnh hưởng theo chính sách phối hợp tiết lộ lỗ hổng, cho phép các nhà phát triển có 90 ngày để vá và thêm 45 ngày nữa trước khi công ty thảo luận các chi tiết ngoài những gì đã có trong tư vấn công khai. Việc xây dựng khung đó rất quan trọng: mục đích của cuộc tập trận không phải là thả vũ khí đang hoạt động vào thế giới hoang dã mà là để chứng minh - với những khai thác bằng chứng khái niệm có thể kiểm chứng - rằng các mô hình tiên phong giờ đây có thể thực hiện nghiên cứu bảo mật mà trước đây là lĩnh vực của các nhóm nhỏ, có chuyên môn cao.
Các nhà nghiên cứu của Anthropic viết: “Các kỹ năng liên quan trước đây là lĩnh vực của một số nhóm chuyên gia”, lưu ý rằng các mô hình hiện có thể xâu chuỗi nhiều lỗ hổng vào một hoạt động khai thác mà không cần nhiều sự tham gia của con người, sau đó chứng minh điều đó bằng cách tạo ra một khai thác mà bất kỳ ai cũng có thể chạy và xác minh. Bài đăng được viết bởi Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf và Luna Tong.
Chrome: 62 CVE, 13 lần thoát sandbox
Các kết quả sâu rộng nhất đến từ trình duyệt của Google. Sau lời nhắc ban đầu, mô hình của Anthropic đã viết một chuỗi khai thác đầy đủ để thực thi mã tùy ý bên ngoài hộp cát của Chrome trên máy macOS có cấu hình mặc định, chứng khoán — bằng chứng khái niệm sẽ khởi chạy ứng dụng Máy tính trong vòng vài giây sau khi tải trang mà không cần tương tác thêm với người dùng.
Chuỗi này đã vượt qua bốn lỗ hổng khác nhau: lỗi hỏng đống trong công cụ JavaScript V8, lỗi thứ hai thoát ra khỏi hộp cát bộ nhớ của V8 và đánh bại ASLR bằng cách sử dụng chuỗi lập trình hướng trả về, một điều kiện chạy đua trong CacheStorage dùng để ánh xạ bộ nhớ của quy trình trình duyệt đặc quyền và cuối cùng là tính năng đăng nhập liên kết FedCM của Chrome cho phép mã thoát hoàn toàn khỏi hộp cát.
Tổng cộng, Anthropic báo cáo rằng 62 CVE đã được chỉ định và vá kể từ Chrome 156, tất cả đều được đánh giá là nghiêm trọng hoặc có mức độ nghiêm trọng cao, bao gồm 13 lỗ hổng sandbox và 21 lỗ hổng có thể được sử dụng để xâm phạm quy trình kết xuất.
Safari, Android và Windows
Chuỗi Safari đã đạt được một điều được cho là đáng báo động hơn đối với người dùng hàng ngày: hoàn toàn bỏ qua chính sách cùng nguồn gốc, quy tắc cơ bản ngăn không cho một trang web đọc dữ liệu của trang khác. Mô hình này đã kết nối một use-after-free trong công cụ JavaScriptCore, thoát khỏi sự cô lập bộ nhớ Gigacage của WebKit và một lỗ hổng trong cơ chế IPC của hộp cát WebContent — cho phép một trang độc hại đọc lịch sử và cookie của Safari cũng như kích hoạt các yêu cầu đã được xác thực đến các miền khác. Apple, Anthropic lưu ý, đã thừa nhận báo cáo vào cùng ngày báo cáo được gửi và triển khai bản sửa lỗi kịp thời.
Trên Android, mô hình này đã kết hợp phân tích mã nguồn, kỹ thuật đảo ngược các tệp nhị phân của dịch vụ Google Play và thử nghiệm trực tiếp trên Google Pixel 9 thực để xây dựng một phương thức khai thác giúp trích xuất ảnh và dữ liệu cá nhân từ điện thoại bị khóa qua USB — bỏ qua quy trình ủy quyền ghép nối và bước xác minh mã sáu chữ số trong quá trình thực hiện.
Phát hiện của Windows là một sự cố từ xa, không được xác thực: một lỗi đọc vượt quá giới hạn trong quá trình triển khai QUIC của nhân Windows, hiện được theo dõi là CVE-2026-33096 và đã được Microsoft khắc phục. Anthropic ước tính có vài triệu máy chủ phản hồi HTTP/3 và có thể đã bị lỗi liên tục do lỗi khai thác này. Đáng chú ý, công ty cho biết mô hình đã tìm ra lỗi thông qua phân tích nhị phân thuần túy - kỹ thuật đảo ngược tệp thực thi Windows bằng các công cụ như Ghidra trước khi nghiên cứu mã được xây dựng lại để tìm điểm yếu.
Nhân Linux: root không cần nhấp chuột
Chuỗi thứ năm là nơi mà các đội an ninh có thể sẽ mất ngủ. Mô hình của Anthropic đã phát hiện ra một use-after-free do điều kiện chủng tộc gây ra trong ngăn xếp mạng của nhân Linux, được theo dõi là CVE-2026-98432 và xây dựng một khai thác gửi các gói mạng tới bất kỳ máy chủ nào chạy trình nghe TCP (MPTCP) đa đường để thực thi các lệnh tùy ý với quyền root — không có thông tin xác thực, không có tương tác của người dùng.
Việc khai thác hoạt động theo hai giai đoạn: đầu tiên, nó đánh bại KASLR từ xa bằng cách lạm dụng cuộc đua để kích hoạt việc đọc quá mức làm rò rỉ con trỏ kernel trở lại kẻ tấn công; sau đó nó tràn bộ đệm để ghi đè lên con trỏ gọi lại, xâu chuỗi các hàm kernel hiện có cho đến khi lệnh shell do kẻ tấn công chọn chạy dưới quyền root. Trong bằng chứng khái niệm của Anthropic, việc rò rỉ một con trỏ kernel mất 48 phút, với việc truy cập shell khoảng năm phút sau đó. Thuộc tính kích hoạt quan trọng: thua cuộc đua chỉ đơn thuần là không bắt tay được mà không làm hỏng hệ thống, vì vậy kẻ tấn công có thể thử lại vô thời hạn.
Anthropic cho biết lỗ hổng này đã được vá ngược dòng và được đưa vào tất cả các nhánh hạt nhân ổn định được duy trì. Tuy nhiên, việc triển khai phân phối đã bị chậm lại - Hacker News đã báo cáo trong tuần này rằng Ubuntu và Red Hat chưa có sẵn kernel cố định và dự án Go đã đưa ra cảnh báo mang tính tư vấn rằng các chương trình Go mặc định kích hoạt TCP đa đường dẫn, khiến chúng gặp phải lỗ hổng.
Đường cơ sở mới cho kẻ tấn công — và người phòng thủ
Ngoài các lỗi riêng lẻ, bài đăng của Anthropic mô tả phương pháp giúp mở rộng quy mô: một nền tảng chạy song song một số lượng lớn các tác nhân quét, đo lường xem mỗi máy quét góp phần tạo ra bao nhiêu lỗ hổng bổ sung và áp dụng phân tích biến thể tự động cho mọi phát hiện được xác nhận. Công ty cũng khuyến nghị quét vào thời điểm yêu cầu kéo và đã phát hành công khai plugin bảo mật Claude Code cho mục đích đó.
Đối với những người bảo vệ, Anthropic đang mở rộng Chương trình xác minh mạng, cung cấp cho các chuyên gia bảo mật đủ điều kiện quyền truy cập vào các khả năng mạng tiên tiến và các mô hình có khả năng nhất của nó, bao gồm Claude Opus 5.5, Claude Sonnet 5.5 và Claude Mythos 5.1. Lời khuyên của công ty vẫn thẳng thắn: hãy quét mã của chính bạn trước khi mô hình của người khác thực hiện.
Tập phim là một điểm dữ liệu sống động trong một cuộc tranh luận đang diễn ra về AI và tội phạm mạng. Các phòng thí nghiệm của Frontier đã dành hai năm để tranh luận rằng các mô hình có thể sớm tìm ra và xâu chuỗi các lỗ hổng trong thế giới thực - ít nhất trong tuần này, gánh nặng chứng minh đã được đáp ứng bằng các hoạt động khai thác.
Để biết thông tin liên tục về nghiên cứu bảo mật AI, các bản phát hành mô hình và chính sách, hãy theo dõi AI Buzz Wire.
