Anthropic: Claude нашёл цепочки уязвимостей в Chrome, Safari, Android, Windows и Linux

Anthropic рассказала о результатах эксперимента, в котором внутренняя исследовательская версия Claude самостоятельно искала уязвимости в популярных браузерах и операционных системах. Модель не ограничивалась обнаружением отдельных ошибок: в ряде случаев она объединяла несколько проблем в полноценные цепочки атак, позволявшие выполнять произвольный код, обходить песочницы и получать доступ к конфиденциальным данным.

Всего исследователи описали пять сценариев. Для их поиска использовали систему из множества агентов, которые параллельно анализировали исходный код и исполняемые файлы, применяя разные стратегии. Одни проверяли отдельные функции, другие искали способы обойти ограничения безопасности или получить доступ к пользовательским данным. Подтверждённые находки дополнительно проверяли и классифицировали по уровню опасности.

Цепочка атак на Google Chrome

Один из наиболее показательных примеров связан с Google Chrome. Claude обнаружил несколько уязвимостей, которые вместе позволяли вредоносной веб-странице выполнить произвольный код с правами пользователя за пределами песочницы браузера.

• ошибка повреждения памяти в JavaScript-движке V8;
• обход изоляции памяти V8 и механизма ASLR с последующим получением контроля над процессом отрисовки;
• состояние гонки в CacheStorage, позволявшее читать данные за пределами песочницы и определять расположение памяти привилегированного процесса;
• уязвимость use-after-free в механизме федеративной авторизации FedCM, обеспечивавшая выполнение кода за пределами изолированной среды.

В демонстрации обычная установка Chrome на macOS запускала приложение «Калькулятор» спустя несколько секунд после открытия вредоносной страницы. Пользователь не должен был совершать дополнительных действий.

Anthropic сообщила Google о 62 уязвимостях, которым присвоили идентификаторы CVE. Все они получили высокий или критический уровень опасности и были исправлены к версии Chrome 156. В числе находок — 13 проблем, позволявших обходить песочницу, и 21 уязвимость, потенциально пригодная для захвата процесса отрисовки страниц.

Обход защиты в Safari и Android

В Safari Claude смог обойти политику одного источника, которая не позволяет коду одного сайта свободно обращаться к данным другого. Эксплойт мог предоставить доступ к истории браузера, cookie и другим конфиденциальным данным, а также позволял отправлять запросы от имени авторизованного пользователя и читать ответы. В частности, это создавало угрозу для почтовых и банковских сервисов при активной пользовательской сессии.

Цепочка использовала несколько особенностей Safari и WebKit: use-after-free в JavaScriptCore, обход ограничений механизма Gigacage, уязвимость в межпроцессном взаимодействии и возможность изменить значение в памяти, отвечающее за проверку политики одного источника. При этом выполнение произвольного кода не требовалось: атака напрямую изменяла значения в памяти браузерного процесса. Apple подтвердила получение отчёта и выпустила исправление.

Другой сценарий касался физического доступа к заблокированному Android-смартфону. Анализируя открытый исходный код Android, исполняемые файлы Google Play services и поведение реального Google Pixel 9, Claude объединил три уязвимости в цепочку, позволявшую передавать личные данные через USB без ввода кода разблокировки.

Атака обходила ограничения USB-передачи, пропускала проверку авторизации при сопряжении устройств и позволяла продолжить соединение без подтверждения шестизначного кода. Затем модель обнаружила резервный механизм обмена данными, через который можно было получить содержимое файлов. Для эксплуатации требовался физический доступ к смартфону. Google уже устранила проблему.

Уязвимости в Windows и Linux

В Windows Claude обнаружил CVE-2026-33096, связанную с обработкой QUIC в ядре операционной системы. Ошибка приводила к чтению памяти за пределами выделенной области и позволяла удалённо вызвать сбой и перезапуск системы с помощью специально сформированных сетевых пакетов. Повторение запросов могло постоянно выводить сервер из строя.

Проблема затрагивала системы Windows, обрабатывающие HTTP/3 через штатную реализацию протокола. Anthropic оценила потенциальное число таких серверов в несколько миллионов. В этом случае модель работала не с исходным кодом: исследователи передали ей исполняемый файл Windows и предложили восстановить логику компонента с помощью инструментов обратной разработки, включая Ghidra. Claude создал модель поведения на C, сопоставил её с оригинальным файлом и после этого нашёл сценарий удалённого отказа в обслуживании. Microsoft выпустила исправление.

В сетевом стеке Linux модель обнаружила уязвимость, позволявшую удалённо выполнять команды с правами root на серверах, принимающих соединения по Multipath TCP. Ошибка use-after-free возникала из-за состояния гонки и не требовала учётных данных или действий пользователя.

Сначала Claude находил способ обойти KASLR через утечку данных из памяти ядра, а затем использовал ту же ошибку для перехвата управления. Получение адреса в памяти ядра в демонстрации заняло 48 минут, выполнение команды — ещё около пяти минут. Неудачная попытка не приводила к падению всей системы, поэтому атакующий мог повторять эксплуатацию. Уязвимость получила идентификатор CVE-2026-98432; исправления внесли в основную и поддерживаемые стабильные ветки Linux.

Почему важны цепочки, а не отдельные ошибки

Anthropic подчёркивает, что некоторые особенности, использованные в атаках, сами по себе не считались уязвимостями. Опасными они становились только в сочетании с другими ошибками. Именно способность находить такие связи между компонентами, обходить несколько уровней защиты и проверять результат на реальной системе стала главным результатом эксперимента.

Исследователи также сообщили об ошибках повышения привилегий в OpenBSD, FreeBSD и Linux, обходах песочниц и проблемах в популярных веб-приложениях. При этом речь идёт о внутренней исследовательской модели и специально организованной системе агентов. Anthropic отдельно отмечает, что опубликованные результаты не означают доступность таких возможностей в обычной публичной версии Claude.

По мнению компании, автоматизированную проверку безопасности стоит проводить ещё до попадания изменений в основную ветку проекта — например, при рассмотрении запросов на слияние. Anthropic также опубликовала плагин для Claude Code, который помогает учитывать требования безопасности в процессе разработки.

Все описанные уязвимости передали разработчикам соответствующих продуктов по процедуре согласованного раскрытия информации. Исправления были выпущены до публикации технических подробностей. Эксперимент показывает, что ИИ уже может использоваться не только для поиска одиночных ошибок, но и для построения сложных сценариев эксплуатации, поэтому ранняя проверка кода и анализ взаимодействия его компонентов становятся всё более важными.