Anthropic утверждает, что её внутренняя исследовательская модель, пока не выпущенная публично, нашла уязвимости в Chrome, Safari, Android, Windows и Linux, а некоторые из них объединила в работающие демонстрационные эксплойты. По словам компании, их создали в лабораторных условиях после первоначальных запросов к модели; в реальных атаках эти эксплойты не наблюдали. Anthropic сообщила об уязвимостях разработчикам, которые выпустили исправления. Название модели компания не раскрывает и не объясняет по шагам, какую часть каждой цепочки она построила самостоятельно. Процесс описан как требующий «первоначального запроса и небольшого участия человека».
Исследовательская команда Anthropic Frontier Red Team рассказала о пяти цепочках атак. Компания считает главным результатом способность модели находить несколько ошибок и связывать их в работающий эксплойт: раньше, по её оценке, для такой работы требовалось несколько команд специалистов. Это утверждение основано на рассказе самой Anthropic; независимо проверить весь ход экспериментов нельзя. Отдельные сведения об исправлениях и благодарностях исследователям в примечаниях к обновлениям доступны публично.
Самый наглядный пример связан с Chrome на macOS. По описанию Anthropic, после загрузки вредоносной страницы демонстрационный эксплойт за секунды запускал приложение «Калькулятор» на стандартном Mac. Цепочка состояла из четырёх уязвимостей: сначала страница вызывала повреждение памяти в V8, движке JavaScript; затем другая ошибка позволяла покинуть песочницу памяти V8 и получить контроль над компонентом отрисовки страниц. Гонка данных в CacheStorage давала доступ к закрытой памяти и помогала выяснить её расположение в более привилегированном процессе браузера. Наконец, ошибка use-after-free в FedCM, функции входа через сторонние сервисы, позволяла выполнить код за пределами песочницы.
Anthropic сообщила Google о 62 уязвимостях; компания заявляет, что все они получили идентификаторы CVE и были устранены в Chrome 156, выпущенном 20 октября. По оценке Anthropic, все ошибки относились к критическому или высокому уровню, а 13 из них позволяли выйти из песочницы. Примечания Google к выпуску подтверждают исправление отдельных проблем и благодарят «Синьян Гэ из Anthropic при содействии Claude», но не перечисляют все 62 уязвимости.
Цепочка для Safari не запускала код на устройстве. Она давала полный доступ на чтение и запись к памяти браузера, после чего эксплойт менял одно значение и отключал политику одного источника. Это правило не позволяет сайту читать данные другого сайта. После его обхода вредоносная страница могла получить историю посещений и cookie, а также отправлять запросы от имени пользователя на сайты, где он уже вошёл в аккаунт, например в почту или онлайн-банк. Для атаки, согласно описанию, хватало одного посещения страницы. Apple исправила центральную ошибку use-after-free в iOS и iPadOS 26.5.2 от 29 июня и указала в благодарностях «Милада Насра и Николаса Карлини вместе с Claude, Anthropic».
Эксплойт для Android позволял копировать фотографии и другие данные с заблокированного украденного телефона. Но удалённой атаки не было: требовались физический доступ к устройству и подключение по USB. Anthropic заявляет, что Google исправила уязвимость; авторы опубликованного разбора, однако, не нашли публичной записи, подтверждающей исправление.
Уязвимость Windows имела другой характер: это отказ в обслуживании, а не кража данных или выполнение кода. Несколько сетевых пакетов могли обрушить машину, а повторные запросы удерживали её в нерабочем состоянии. Anthropic описывает проблему как чтение за границами буфера при обработке QUIC в ядре Windows. В публичной записи CVE-2026-33096 уязвимость связана с HTTP.sys, встроенным обработчиком веб-запросов Windows, и оценена в 7,5 балла из 10. Открытых данных, связывающих эти описания с одним компонентом, в разборе не приводится; в CVE не указан исследователь, обнаруживший ошибку. Поэтому утверждение, что её нашла Anthropic, подтверждается только публикацией самой компании. По данным, приведённым в разборе, на конец октября уязвимость не считалась используемой в атаках и не входила в каталог известных эксплуатируемых уязвимостей CISA. Исправление вышло в апреле 2026 года.
Наиболее серьёзной по последствиям Anthropic назвала цепочку для Linux. Если на сервере работал обработчик Multipath TCP, удалённый атакующий мог без входа в систему запускать команды с правами root. Модель, как сообщает компания, сначала раскрыла адрес в памяти ядра, обойдя KASLR — рандомизацию адресного пространства ядра, — затем воспользовалась ошибкой, связанной с гонкой данных, и перенаправила выполнение на заранее размещённый код. Результатом стала оболочка root. Демонстрационный эксплойт, по словам Anthropic, потратил 48 минут на раскрытие адреса и ещё пять минут на получение оболочки; неудачная попытка не приводила к падению системы, поэтому её можно было повторить.
Anthropic связывает эту цепочку с CVE-2026-98432: уязвимостью use-after-free в ядре с оценкой 9,8, исправленной в основной ветке Linux 15 октября. Но публичная запись CVE описывает исправление для IPv4 TCP, а не для Multipath TCP. Связь между записью и цепочкой атаки проводит только публикация Anthropic. Этот разрыв между заявлением компании и тем, что можно сверить по открытым данным, важен: наличие CVE и опубликованного исправления подтверждает устранение ошибки, но не раскрывает автоматически, как именно модель построила эксплойт.
Anthropic утверждает, что сообщала об ошибках по политике согласованного раскрытия: разработчикам дают 90 дней на исправление, после чего компания ждёт ещё 45 дней, прежде чем публиковать подробности сверх общедоступного уведомления. Работу она представляет как помощь защитникам и указывает на расширенную программу Cyber Verification Program. Проверенным специалистам в ней предоставляют доступ к Claude Opus 5.5, Sonnet 5.5 и Mythos 5.1. Объясняя публикацию результатов, Anthropic пишет: «Теперь модели могут делать это при небольшом участии человека, а затем доказывать результат, создавая работающий эксплойт, который любой может запустить и проверить».
Изображение носит иллюстративный характер
Исследовательская команда Anthropic Frontier Red Team рассказала о пяти цепочках атак. Компания считает главным результатом способность модели находить несколько ошибок и связывать их в работающий эксплойт: раньше, по её оценке, для такой работы требовалось несколько команд специалистов. Это утверждение основано на рассказе самой Anthropic; независимо проверить весь ход экспериментов нельзя. Отдельные сведения об исправлениях и благодарностях исследователям в примечаниях к обновлениям доступны публично.
Самый наглядный пример связан с Chrome на macOS. По описанию Anthropic, после загрузки вредоносной страницы демонстрационный эксплойт за секунды запускал приложение «Калькулятор» на стандартном Mac. Цепочка состояла из четырёх уязвимостей: сначала страница вызывала повреждение памяти в V8, движке JavaScript; затем другая ошибка позволяла покинуть песочницу памяти V8 и получить контроль над компонентом отрисовки страниц. Гонка данных в CacheStorage давала доступ к закрытой памяти и помогала выяснить её расположение в более привилегированном процессе браузера. Наконец, ошибка use-after-free в FedCM, функции входа через сторонние сервисы, позволяла выполнить код за пределами песочницы.
Anthropic сообщила Google о 62 уязвимостях; компания заявляет, что все они получили идентификаторы CVE и были устранены в Chrome 156, выпущенном 20 октября. По оценке Anthropic, все ошибки относились к критическому или высокому уровню, а 13 из них позволяли выйти из песочницы. Примечания Google к выпуску подтверждают исправление отдельных проблем и благодарят «Синьян Гэ из Anthropic при содействии Claude», но не перечисляют все 62 уязвимости.
Цепочка для Safari не запускала код на устройстве. Она давала полный доступ на чтение и запись к памяти браузера, после чего эксплойт менял одно значение и отключал политику одного источника. Это правило не позволяет сайту читать данные другого сайта. После его обхода вредоносная страница могла получить историю посещений и cookie, а также отправлять запросы от имени пользователя на сайты, где он уже вошёл в аккаунт, например в почту или онлайн-банк. Для атаки, согласно описанию, хватало одного посещения страницы. Apple исправила центральную ошибку use-after-free в iOS и iPadOS 26.5.2 от 29 июня и указала в благодарностях «Милада Насра и Николаса Карлини вместе с Claude, Anthropic».
Эксплойт для Android позволял копировать фотографии и другие данные с заблокированного украденного телефона. Но удалённой атаки не было: требовались физический доступ к устройству и подключение по USB. Anthropic заявляет, что Google исправила уязвимость; авторы опубликованного разбора, однако, не нашли публичной записи, подтверждающей исправление.
Уязвимость Windows имела другой характер: это отказ в обслуживании, а не кража данных или выполнение кода. Несколько сетевых пакетов могли обрушить машину, а повторные запросы удерживали её в нерабочем состоянии. Anthropic описывает проблему как чтение за границами буфера при обработке QUIC в ядре Windows. В публичной записи CVE-2026-33096 уязвимость связана с HTTP.sys, встроенным обработчиком веб-запросов Windows, и оценена в 7,5 балла из 10. Открытых данных, связывающих эти описания с одним компонентом, в разборе не приводится; в CVE не указан исследователь, обнаруживший ошибку. Поэтому утверждение, что её нашла Anthropic, подтверждается только публикацией самой компании. По данным, приведённым в разборе, на конец октября уязвимость не считалась используемой в атаках и не входила в каталог известных эксплуатируемых уязвимостей CISA. Исправление вышло в апреле 2026 года.
Наиболее серьёзной по последствиям Anthropic назвала цепочку для Linux. Если на сервере работал обработчик Multipath TCP, удалённый атакующий мог без входа в систему запускать команды с правами root. Модель, как сообщает компания, сначала раскрыла адрес в памяти ядра, обойдя KASLR — рандомизацию адресного пространства ядра, — затем воспользовалась ошибкой, связанной с гонкой данных, и перенаправила выполнение на заранее размещённый код. Результатом стала оболочка root. Демонстрационный эксплойт, по словам Anthropic, потратил 48 минут на раскрытие адреса и ещё пять минут на получение оболочки; неудачная попытка не приводила к падению системы, поэтому её можно было повторить.
Anthropic связывает эту цепочку с CVE-2026-98432: уязвимостью use-after-free в ядре с оценкой 9,8, исправленной в основной ветке Linux 15 октября. Но публичная запись CVE описывает исправление для IPv4 TCP, а не для Multipath TCP. Связь между записью и цепочкой атаки проводит только публикация Anthropic. Этот разрыв между заявлением компании и тем, что можно сверить по открытым данным, важен: наличие CVE и опубликованного исправления подтверждает устранение ошибки, но не раскрывает автоматически, как именно модель построила эксплойт.
Anthropic утверждает, что сообщала об ошибках по политике согласованного раскрытия: разработчикам дают 90 дней на исправление, после чего компания ждёт ещё 45 дней, прежде чем публиковать подробности сверх общедоступного уведомления. Работу она представляет как помощь защитникам и указывает на расширенную программу Cyber Verification Program. Проверенным специалистам в ней предоставляют доступ к Claude Opus 5.5, Sonnet 5.5 и Mythos 5.1. Объясняя публикацию результатов, Anthropic пишет: «Теперь модели могут делать это при небольшом участии человека, а затем доказывать результат, создавая работающий эксплойт, который любой может запустить и проверить».
