Anthropic показала, как Claude собирает цепочки атак на Chrome, Safari, Android, Windows и Linux

Anthropic 27 октября опубликовала отчет команды Frontier Red Team о поиске уязвимостей с помощью внутренней невыпущенной исследовательской модели. За несколько месяцев модель нашла критические уязвимости в некоторых из самых распространенных программ в мире: браузерах и операционных системах. В отчете разобраны пять цепочек атак, которые приводили к удаленному выполнению кода и другим критическим последствиям практически без действий пользователя.

Все найденные уязвимости передали вендорам по процедуре согласованного раскрытия: у разработчиков есть 90 дней на исправление и еще 45 дней до того, как Anthropic обсуждает детали публично. На момент публикации отчета все описанные бреши уже закрыты, поэтому в материале нет инструкций, которыми могли бы воспользоваться злоумышленники.

Пять цепочек атак

Первая цепочка, Chrome: модель собрала эксплойт, который выполняет произвольный код вне песочницы браузера через одно открытие вредоносной страницы. Цепочка объединила повреждение кучи в движке V8, выход из изолированной области памяти V8, состояние гонки в CacheStorage и уязвимость use-after-free в FedCM, системе федеративного входа. По итогам работы Google закрепила 62 CVE, все критические или высокие, исправленные к Chrome 156. Среди них 13 выходов из песочницы и 21 уязвимость, позволявшая скомпрометировать процесс рендерера.

Вторая цепочка, Safari: эксплойт позволял любому сайту полностью обойти политику одного источника и читать историю, куки и другие данные пользователя, включая содержимое почты или банковской сессии. Модель нашла use-after-free в движке JavaScriptCore, обход изоляции Gigacage, уязвимость в IPC-механизме песочницы WebContent и способ отключить политику одного источника. Атака примечательна тем, что обходится без выполнения произвольного кода: она только читает и изменяет данные в памяти. Apple подтвердила отчет в день отправки и быстро выпустила исправление, оно уже доступно пользователям.

Третья цепочка, Android: модель собрала эксплойт, извлекающий фотографии и личные данные с украденного заблокированного телефона без разблокировки. Работа сочетала анализ открытого кода Android, реверс-инжиниринг бинарных файлов Google Play Services и живые испытания на физическом Pixel 9. Итоговая цепочка из трех уязвимостей обходила защиту USB-порта, пропускала проверку авторизации при сопряжении и использовала запасной механизм передачи сырых байтов. Google уже устранила проблему.

Четвертая цепочка, Windows: удаленный отказ в обслуживании любой машины, отвечающей на запросы HTTP/3 через встроенную реализацию Windows. Уязвимость, чтение за границами буфера в реализации QUIC в ядре, позволяла несколькими пакетами перезагрузить сервер, а повторяя запросы, держать его недоступным. Anthropic оценивает число таких серверов в интернете в несколько миллионов. Microsoft исправила уязвимость и присвоила ей идентификатор CVE-2026-33096. Модель нашла брешь методом бинарного анализа: она восстановила работу исполняемого файла через инструменты вроде Ghidra, написала аннотированную программу на C, сверила поведение с оригиналом и только потом искала уязвимости.

Пятая цепочка, Linux: удаленное выполнение произвольного кода с правами root без учетных данных и каких-либо действий пользователя на серверах с multipath TCP listener. Уязвимость, состояние гонки с use-after-free в сетевом стеке ядра, получила идентификатор CVE-2026-98432, ее исправили в основной ветке и перенесли во все поддерживаемые стабильные ветки. В демонстрации утечка указателя ядра заняла 48 минут, а получение выполнения команды еще пять; при этом проигранная гонка лишь рвет рукопожатие, не руша систему, поэтому атакующий может повторять попытки. Отдельно команда нашла локальные повышения привилегий в OpenBSD, FreeBSD и Linux, выходы из популярных песочниц и уязвимости в важных веб-приложениях.

Что важно понимать об условиях

Результаты не означают, что любая система уязвима прямо сейчас. Каждая цепочка проверялась в конкретных условиях: атака на Windows работает только против машин, отвечающих на HTTP/3 через нативную реализацию Windows, а атака на Linux требует сервера с multipath TCP listener. Все описанные уязвимости уже исправлены вендорами, поэтому главное практическое следствие для обычного пользователя одно: вовремя обновлять браузер и операционную систему.

Выводы Anthropic

Команда выделяет два наблюдения. Первое: параллельный запуск множества сканирующих агентов с разными стратегиями, от проверки покрытия до целевых сценариев вроде компрометации данных клиентов, заметно увеличивает число находок, а автоматический анализ вариантов каждой подтвержденной уязвимости доверяется модели. Второе: чинить накопившийся список ошибок мало, нужно снижать темп появления новых, поэтому Anthropic рекомендует проверять код еще на этапе pull request и выпустила плагин Claude Code с рекомендациями по безопасности в открытый доступ. Направление активно развивается и у конкурентов: Google недавно представила Gemini 4 Carbon для долгой работы с кодом и киберзащиты.

Параллельно Anthropic расширила программу Cyber Verification Program, которая дает квалифицированным специалистам по безопасности доступ к самым способным моделям компании, включая Claude Opus 5.5, Claude Sonnet 5.5 и Claude Mythos 5.1. Идея в том, чтобы защитники получили фору и закрывали уязвимости раньше атакующих: способность моделей самостоятельно находить и связывать бреши в работающий эксплойт раньше была уделом немногих профильных команд. Риски автоматизации атак уже проявлялись и в инфраструктуре ИИ, о чем говорит недавняя утечка ключей через KV-кэш в Workers AI.