exploit chains eines KI-Modells betreffen fünf große Softwareplattformen
Von einem KI-Modell in einem Labor entwickelte exploit chains deckten Sicherheitslücken in Chrome, Safari, Android, Windows und Linux auf. Anthropic zufolge fand ein noch nicht veröffentlichtes internes Forschungsmodell voneinander unabhängige Schwachstellen und kombinierte sie zu fünf funktionsfähigen proof-of-concept Exploits, also Demonstrationen, die zeigten, dass sich die Fehler in der Praxis ausnutzen ließen. Das Unternehmen meldete die Schwachstellen den betroffenen Anbietern, und alle fünf exploit chains werden als behoben beschrieben. Es gibt keine Hinweise darauf, dass eine davon bei einem echten Angriff eingesetzt wurde.
Anthropics Frontier Red Team zufolge benötigte das Modell lediglich anfängliche Anweisungen und begrenzte menschliche Unterstützung. Das Unternehmen hat jedoch weder den Namen des Modells offengelegt noch genau dokumentiert, welchen Beitrag Menschen in den einzelnen Phasen leisteten. Die weitergehende Behauptung, ein KI-Modell habe selbstständig mehrere Schwachstellen zu vollständigen Exploits zusammensetzen können, stützt sich daher teilweise auf Anthropics eigene Darstellung. Aufzeichnungen der Anbieter nennen Anthropic und Claude unabhängig davon als Mitwirkende bei einigen Fehlerbehebungen für Chrome und Apple, während im öffentlichen Windows-Eintrag kein Entdecker genannt wird.
Die exploit chain für Chrome kombinierte vier Schwachstellen. Zunächst beschädigte eine bösartige Webseite Speicher innerhalb von V8, der JavaScript-Engine von Chrome. Eine zweite Schwachstelle durchbrach die memory sandbox von V8, eine Isolationsgrenze, die einschränken soll, worauf kompromittierter Code zugreifen kann, und erlangte die Kontrolle über die Browserkomponente, die für die Darstellung der Seite verantwortlich ist. Anschließend nutzte die exploit chain eine race condition in CacheStorage, bei der das Ergebnis davon abhängt, dass Vorgänge in einer unerwarteten Reihenfolge stattfinden, um das memory layout eines stärker privilegierten Chrome-Prozesses offenzulegen.
Eine abschließende use-after-free Schwachstelle in FedCM, der Anmeldefunktion von Chrome, ermöglichte es Code, vollständig aus der browser sandbox auszubrechen. use-after-free tritt auf, wenn Software einen Speicherbereich weiterverwendet, nachdem sie ihn hätte freigeben müssen. Anthropic demonstrierte das Ergebnis auf einem unveränderten Mac: Innerhalb weniger Sekunden nach dem Laden einer Seite in Chrome öffnete sich die Anwendung Calculator ohne einen weiteren Klick. Als Voraussetzungen wurden ein Klick oder das Laden einer Seite in einer unveränderten Chrome-Installation für macOS angegeben. Die Fehlerbehebung wurde am 20. Oktober in Chrome 156 veröffentlicht.
Anthropic zufolge meldete das Unternehmen 62 Chrome-Schwachstellen, die CVE-Identifikatoren erhielten und bis Chrome 156 behoben wurden. Es stufte alle als kritisch oder von hohem Schweregrad ein, darunter 13 sandbox escapes. In den Versionshinweisen von Google wird ein von Claude unterstützter Anthropic-Forscher für bestimmte Fehlerbehebungen genannt, jedoch werden nicht alle 62 Schwachstellen auf diese Weise zugeordnet. Für Websitebetreiber und Hosting-Teams ist die unmittelbare Lehre eher praktischer als theoretischer Natur: Browser, die zur Verwaltung von Websites verwendet werden, sollten umgehend aktualisiert werden, da eine bösartige Seite andernfalls als Weg zur Codeausführung auf dem Computer des Administrators dienen könnte.
Die exploit chain für Safari führte keinen neuen Code aus. Stattdessen erlangte sie Lese- und Schreibzugriff auf den Browserspeicher und änderte einen Wert, um die same-origin policy zu deaktivieren, also die Browserregel, die verhindert, dass eine Website auf Daten einer anderen Website zugreift. Eine bösartige Seite konnte anschließend den Browserverlauf und Cookies auslesen oder Anfragen an Dienste senden, bei denen das Opfer bereits angemeldet war, darunter E-Mail- oder Banking-Websites. Apple behob die zentrale use-after-free Schwachstelle am 29. Juni in iOS und iPadOS 26.5.2 und nannte dabei Anthropic-Forscher, die mit Claude arbeiteten. Für die Ausnutzung war der Besuch einer bösartigen Seite erforderlich.
Für die exploit chain unter Android waren der physische Besitz eines gesperrten Smartphones und eine USB-Verbindung erforderlich. Anthropic zufolge konnten damit Fotos und andere Informationen von einem gestohlenen Gerät kopiert werden. Das Unternehmen gibt außerdem an, dass Google das Problem behoben habe, doch es wurde kein entsprechender öffentlicher Schwachstelleneintrag gefunden. Damit hängt der gemeldete Status der Fehlerbehebung von Anthropics Beschreibung ab und nicht von einer separat identifizierbaren öffentlichen Sicherheitsmeldung.
Bei der exploit chain für Windows handelte es sich um einen denial-of-service Exploit, der ein System unerreichbar macht, anstatt Code auszuführen oder Informationen zu stehlen. Eine kleine Anzahl von Netzwerkpaketen konnte einen Server zum Absturz bringen, der HTTP/3-Anfragen beantwortete. Durch wiederholtes Senden dieser Pakete ließ sich der Rechner dauerhaft außer Betrieb halten. Anthropic beschrieb einen out-of-bounds read, bei dem Software über den ihr zugewiesenen Speicherbereich hinaus liest, im QUIC handling des Windows kernel. Das Unternehmen brachte die exploit chain mit CVE-2026-33096 in Verbindung, die im April 2026 behoben und mit 7,5 von 10 Punkten bewertet wurde.
Der öffentliche Eintrag zu CVE-2026-33096 nennt dagegen HTTP.sys, den integrierten Handler von Windows für Webanfragen, und führt keinen Entdecker auf. Kein offener öffentlicher Eintrag stellt eine Verbindung zwischen dieser Komponentenbeschreibung und Anthropics Darstellung des QUIC handling im kernel her. Ende Oktober war die Schwachstelle in der Schwachstellenanreicherung der US-Regierung als nicht ausgenutzt gekennzeichnet und nicht im CISA-Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgeführt.
Die exploit chain für Linux hatte die größte angegebene Auswirkung, da sie ohne Anmeldung oder Benutzeraktion Befehle als root ausführen konnte, also über das Konto mit vollständiger Systemkontrolle. Betroffen waren Server, auf denen ein multipath TCP listener ausgeführt wurde, der Netzwerkverbindungen akzeptiert, die mehr als einen Pfad verwenden können. Der Exploit legte zunächst eine Speicheradresse des kernel offen, um Kernel Address Space Layout Randomization beziehungsweise KASLR zu umgehen, eine Schutzmaßnahme, die wichtige Speicherorte verbirgt. Anschließend nutzte er denselben Fehler vom Typ race condition erneut, um die Ausführung zu vom Angreifer bereitgestelltem Code umzuleiten und eine root shell zu erhalten.
Anthropic zufolge benötigte sein Linux-proof-of-concept 48 Minuten, um die Adresse offenzulegen, und weitere fünf Minuten, um die root shell zu erreichen. Ein fehlgeschlagener Versuch brachte das Zielsystem nicht zum Absturz, sodass weitere Versuche möglich waren. Das Unternehmen bringt die exploit chain mit CVE-2026-98432 in Verbindung, einer als use-after-free eingestuften Schwachstelle mit einer Bewertung von 9,8, die am 15. Oktober upstream behoben wurde. Die öffentliche CVE-Beschreibung bezieht sich jedoch auf eine Korrektur für IPv4 TCP und nicht auf multipath TCP. Die Verbindung zwischen den beiden Beschreibungen ist ausschließlich in Anthropics Beitrag dokumentiert.
Anthropic zufolge befolgte das Unternehmen ein Verfahren zur koordinierten Offenlegung, das Entwicklern 90 Tage zur Behebung gemeldeter Schwachstellen einräumt. Danach folgen weitere 45 Tage, bevor technische Einzelheiten über eine öffentliche Sicherheitsmeldung hinaus erörtert werden. Das Unternehmen verweist außerdem überprüfte Sicherheitsexperten auf sein erweitertes Cyber Verification Program, das Zugriff auf Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1 bietet. Die Forschung stützt die Möglichkeit, dass KI-Modelle bei der Entwicklung komplexer Exploits helfen können. Das nicht offengelegte Modell und der nicht näher beschriebene menschliche Beitrag schränken jedoch eine unabhängige Bewertung darüber ein, wie autonom diese exploit chains erstellt wurden.
Für Organisationen, die plattformübergreifendes Patching bewerten, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Unabhängig davon, wie die Schwachstellen entdeckt wurden, sollten Administratoren die Fehlerbehebungen der Anbieter als den praktisch relevanten Teil der Meldung betrachten: öffentlich erreichbare Browser, Smartphones, Windows-Systeme und Linux-Server sollten aktualisiert werden. Außerdem sollte geprüft werden, ob mit dem Internet verbundene Dienste die betroffenen HTTP/3- oder multipath TCP-Konfigurationen verwenden.