Невыпущенная модель ИИ от Anthropic обнаружила уязвимости безопасности в Chrome, Safari, Android, Windows и Linux и объединила их в рабочие эксплойты, подтверждающие концепцию, сообщила компания в своем последнем отчете. Эксплойты были созданы в лаборатории после запроса к модели, а не обнаружены в реальных атаках. Anthropic сначала сообщила о каждом недостатке поставщику, поэтому все они уже устранены. Один из эксплойтов за несколько секунд после загрузки страницы открыл приложение «Калькулятор» на стандартном Mac под управлением Chrome без каких-либо дополнительных кликов. Команда Frontier Red Team от Anthropic описала пять цепочек уязвимостей в своем исследовании. Самое важное заявление заключается не в отдельной ошибке, а в том, что одна модель нашла несколько отдельных недостатков и объединила их в рабочий эксплойт, что, по словам компании, до сих пор было задачей лишь нескольких специализированных команд. Это утверждение о возможностях основано на отчете самой Anthropic. Исправления и тот факт, что Apple и Google признают Anthropic и ее модель Claude за конкретные исправления, могут быть проверены у поставщиков. Читатель не может проверить, какая часть каждой цепочки была построена моделью самостоятельно. Anthropic утверждает, что для работы потребовалось лишь «начальное условие» и «незначительное участие человека», но не уточняет, что именно делал человек на каждом этапе, и не называет модель, кроме как «невыпущенная внутренняя исследовательская модель». Для единственного недостатка с собственной публичной документацией, уязвимости в Windows, в записи не указан автор. Вот пять цепочек, их функциональность, необходимые условия и информация об исправлениях. В цепочке для Chrome модель последовательно использовала четыре отдельные уязвимости. Вредоносная страница сначала повредила память в V8, движке JavaScript Chrome. Вторая уязвимость позволила обойти песочницу памяти V8 и получить контроль над частью Chrome, отображающей страницу. Состояние гонки в функции CacheStorage позволило этому коду читать память, которую он не должен был иметь доступ, и узнать структуру более привилегированного процесса браузера. Финальная ошибка использования после освобождения (use-after-free) в FedCM, функции входа в Chrome, позволила эксплойту выполнить код вне песочницы. Anthropic утверждает, что сообщила Google о 62 недостатках, которым были присвоены CVE и которые были исправлены в Chrome 156, все они оценены как критические или высокие, включая 13 обходов песочницы. В примечаниях к выпуску Google упоминает «Синьян Ге из Anthropic при содействии Claude» за конкретные исправления в Chrome, хотя и не за все 62. Цепочка для Safari отличается тем, что код никогда не выполняется. Она объединяет уязвимости для получения полного доступа на чтение и запись к памяти браузера, а затем изменяет одно значение, чтобы отключить политику одного источника (same-origin policy) — правило, которое предотвращает чтение данных одного веб-сайта другим. При отключенном правиле вредоносная страница может читать историю пользователя и файлы cookie, а также отправлять запросы на другие сайты от имени вошедшего в систему пользователя. Apple исправила ошибку использования после освобождения в центре цепочки в iOS и iPadOS 26.5.2 и приписывает ее «Миладу Насру и Николасу Карлини с помощью Claude, Anthropic». Цепочка для Windows имеет независимую документацию и является самой узкой. Это атака типа «отказ в обслуживании»: несколько сетевых пакетов вызывают сбой машины, и повторение этих пакетов поддерживает ее в нерабочем состоянии, но не позволяет выполнять код или красть данные. Anthropic описывает уязвимость как чтение за пределами допустимых границ (out-of-bounds read) в обработке QUIC ядром Windows. Публичная запись для уязвимости, на которую она указывает, CVE-2026-33096, вместо этого называет HTTP.sys, встроенный обработчик веб-запросов Windows, и оценивает ее в 7,5 из 10. Нет никаких связей с открытым исходным кодом, которые объединяли бы эти два описания как один и тот же компонент. Запись CVE не указывает автора, поэтому авторство Anthropic в этом случае основано на ее собственном сообщении. По состоянию на конец октября американское правительственное агентство по обогащению данных об уязвимостях отметило, что уязвимость не была использована, и она не входила в каталог CISA известных эксплуатируемых уязвимостей. Цепочка для Linux является наиболее серьезной с точки зрения воздействия: она позволяет выполнять команды с правами root по сети без входа в систему. Для этого требуется, чтобы на целевом сервере был запущен слушатель multipath TCP. Модель сначала утекает адрес памяти ядра, чтобы обойти защиту KASLR, а затем повторно использует ту же ошибку состояния гонки, чтобы перенаправить программу на код, уже размещенный злоумышленником, что приводит к получению root-оболочки. Anthropic утверждает, что ее доказательство концепции заняло 48 минут для утечки адреса и еще пять минут для получения оболочки, и что неудачная попытка не приводит к сбою системы, поэтому злоумышленник может продолжать попытки. Компания связывает эту цепочку с CVE-2026-98432, ошибкой использования после освобождения в ядре, оцененной в 9,8 и исправленной в основном коде 15 октября; публичная запись для этого CVE описывает исправление TCP для IPv4, а не для multipath TCP, и оба связаны только сообщением Anthropic. Anthropic представляет эту работу как помощь защитникам. Компания заявляет, что сообщила о каждом недостатке в соответствии с политикой скоординированного раскрытия информации, которая дает разработчикам 90 дней на исправление и еще 45 дней до обсуждения деталей за пределами публичного уведомления, и направляет команды безопасности к своей расширенной программе Cyber Verification Program, которая предоставляет проверенным профессионалам доступ к Claude Opus 5.5, Sonnet 5.5 и Mythos 5.1. Причина публикации, которую приводит компания, заключается в ее собственных словах: «Теперь модели могут делать это с минимальным участием человека, а затем доказывать это, создавая рабочий эксплойт, который любой может запустить и проверить».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
