Le exploit chains di un AI model si estendono a cinque importanti piattaforme software
Le exploit chains sviluppate in laboratorio da un AI model hanno rivelato debolezze di sicurezza in Chrome, Safari, Android, Windows e Linux. Anthropic afferma che un modello interno di ricerca non ancora pubblicato ha individuato vulnerabilità separate e le ha combinate in cinque exploit proof-of-concept funzionanti, ossia dimostrazioni che hanno mostrato come i bug potessero essere sfruttati nella pratica. L'azienda ha segnalato le vulnerabilità ai produttori interessati e tutte e cinque le chains risultano corrette. Non vi sono prove che qualcuna di esse sia stata utilizzata in un attacco reale.
Il Frontier Red Team di Anthropic afferma che il modello ha richiesto soltanto istruzioni iniziali e un limitato aiuto umano, ma l'azienda non ha rivelato il nome del modello né documentato con precisione quale sia stato il contributo delle persone in ogni fase. La sua affermazione più generale, secondo cui un unico AI model sarebbe riuscito ad assemblare autonomamente diverse vulnerabilità in exploit completi, si basa quindi in parte sul resoconto di Anthropic. I registri dei produttori attribuiscono in modo indipendente ad Anthropic e Claude alcune correzioni per Chrome e Apple, sebbene il registro pubblico di Windows non identifichi chi abbia scoperto la vulnerabilità.
La Chrome chain combinava quattro vulnerabilità. Una pagina web dannosa danneggiava innanzitutto la memoria all'interno di V8, il motore JavaScript di Chrome. Una seconda vulnerabilità consentiva di superare la memory sandbox di V8, un confine di isolamento progettato per limitare ciò che il codice compromesso può raggiungere, e di assumere il controllo del componente del browser responsabile del rendering della pagina. La chain utilizzava quindi una race condition in CacheStorage, nella quale il risultato dipende da operazioni che avvengono in un ordine imprevisto, per rivelare il layout della memoria di un processo Chrome con privilegi più elevati.
Una vulnerabilità use-after-free finale in FedCM, la funzione di accesso di Chrome, consentiva al codice di uscire completamente dalla sandbox del browser. Una use-after-free si verifica quando il software continua a utilizzare una memoria dopo che avrebbe dovuto rilasciarla. Anthropic ha dimostrato il risultato su un Mac con configurazione standard: pochi secondi dopo il caricamento di una pagina in Chrome, l'applicazione Calculator si è aperta senza un ulteriore clic. Le condizioni indicate erano un solo clic o il caricamento di una pagina su una versione standard di Chrome per macOS. La correzione è stata inclusa in Chrome 156 il 20 ottobre.
Anthropic afferma di aver segnalato 62 vulnerabilità di Chrome che hanno ricevuto identificatori CVE e sono state corrette entro Chrome 156. Le ha descritte tutte come di severity critica o alta, comprese 13 sandbox escape. Le note di rilascio di Google attribuiscono specifiche correzioni a un ricercatore di Anthropic assistito da Claude, ma non attribuiscono allo stesso modo tutte le 62 vulnerabilità. Per i proprietari di siti web e i team di hosting, la lezione immediata è operativa anziché teorica: i browser utilizzati per amministrare i siti devono essere aggiornati rapidamente, perché altrimenti una pagina dannosa potrebbe diventare un mezzo per eseguire codice sul computer dell'amministratore.
La Safari chain non eseguiva nuovo codice. Otteneva invece accesso in lettura e scrittura alla memoria del browser e modificava un valore per disabilitare la same-origin policy, la regola del browser che impedisce a un sito web di accedere alle informazioni appartenenti a un altro. Una pagina dannosa poteva quindi leggere la cronologia di navigazione e i cookie oppure inviare richieste a servizi nei quali la vittima aveva già effettuato l'accesso, compresi siti di posta elettronica o servizi bancari. Apple ha corretto la vulnerabilità use-after-free principale in iOS e iPadOS 26.5.2 il 29 giugno e ha attribuito la scoperta a ricercatori di Anthropic che lavoravano con Claude. Lo sfruttamento richiedeva la visita di una pagina dannosa.
La Android chain richiedeva il possesso fisico di un telefono bloccato e una connessione USB. Anthropic afferma che consentiva di copiare fotografie e altre informazioni da un dispositivo rubato. L'azienda sostiene inoltre che Google abbia corretto il problema, ma non è stato trovato alcun registro pubblico corrispondente della vulnerabilità. Di conseguenza, lo stato della correzione segnalato dipende dalla descrizione di Anthropic anziché da un advisory pubblico identificabile separatamente.
La Windows chain era un exploit denial-of-service, che rende indisponibile un sistema invece di eseguire codice o sottrarre informazioni. Un numero ridotto di pacchetti di rete poteva provocare il crash di un server che rispondeva a richieste HTTP/3, mentre il loro invio ripetuto poteva mantenere il computer fuori servizio. Anthropic ha descritto un out-of-bounds read, nel quale il software legge oltre l'area di memoria assegnata, nella gestione QUIC del kernel Windows. Ha collegato la chain a CVE-2026-33096, corretta nell'aprile 2026 e valutata 7,5 su 10.
La voce pubblica relativa a CVE-2026-33096 identifica invece HTTP.sys, il gestore integrato delle richieste web di Windows, e non indica chi abbia scoperto la vulnerabilità. Nessun registro pubblico disponibile collega la descrizione di tale componente al resoconto di Anthropic sulla gestione QUIC del kernel. Alla fine di ottobre, il sistema di arricchimento dei dati sulle vulnerabilità del governo degli Stati Uniti indicava che la vulnerabilità non era stata sfruttata e questa non compariva nel catalogo CISA delle vulnerabilità note sfruttate.
La Linux chain presentava il maggiore impatto dichiarato, perché poteva eseguire comandi come root, l'account che dispone del controllo completo del sistema, senza login né azioni dell'utente. Interessava i server che eseguivano un listener multipath TCP, capace di accettare connessioni di rete che possono utilizzare più di un percorso. L'exploit rivelava innanzitutto un indirizzo della memoria del kernel per superare Kernel Address Space Layout Randomization, o KASLR, una difesa che nasconde importanti posizioni della memoria. Riutilizzava quindi lo stesso bug di race condition per reindirizzare l'esecuzione verso codice fornito dall'attaccante e ottenere una root shell.
Anthropic afferma che il suo proof-of-concept per Linux richiedeva 48 minuti per rivelare l'indirizzo e altri cinque minuti per raggiungere la root shell. Un tentativo fallito non causava il crash del sistema bersaglio, permettendo di riprovare. L'azienda associa la chain a CVE-2026-98432, una vulnerabilità use-after-free valutata 9,8 e corretta upstream il 15 ottobre. Tuttavia, la descrizione pubblica della CVE fa riferimento a una correzione IPv4 TCP anziché a multipath TCP e il collegamento tra le due descrizioni è documentato soltanto nel post di Anthropic.
Anthropic afferma di aver seguito un processo di coordinated disclosure che concede agli sviluppatori 90 giorni per correggere le vulnerabilità segnalate, seguiti da altri 45 giorni prima che vengano discussi dettagli tecnici ulteriori rispetto a un advisory pubblico. Indirizza inoltre i professionisti della sicurezza selezionati verso il proprio Cyber Verification Program ampliato, che fornisce accesso a Claude Opus 5.5, Sonnet 5.5 e Mythos 5.1. La ricerca sostiene la possibilità che gli AI model possano contribuire allo sviluppo di exploit complessi, ma il modello non rivelato e il contributo umano non specificato limitano la valutazione indipendente del grado di autonomia con cui queste chains sono state prodotte.
Per le organizzazioni che valutano il patching multipiattaforma, AEU-I offre servizi IT, infrastrutture e consulenza con la sicurezza come priorità. Indipendentemente dal modo in cui sono state individuate le vulnerabilità, gli amministratori devono considerare le correzioni dei produttori come l'aspetto concreto su cui intervenire: aggiornare i browser esposti, i telefoni, i sistemi Windows e i server Linux, quindi verificare se i servizi esposti a Internet utilizzano le configurazioni HTTP/3 o multipath TCP interessate.