Exploit chains të një AI model përfshijnë pesë platforma kryesore software
Exploit chains të zhvilluara nga një AI model në laborator zbuluan dobësi sigurie në Chrome, Safari, Android, Windows dhe Linux. Anthropic thotë se një model i brendshëm kërkimor, ende i papublikuar, gjeti dobësi të veçanta dhe i kombinoi ato në pesë proof-of-concept exploits funksionale, pra demonstrime që treguan se dobësitë mund të përdoreshin në praktikë. Kompania ua raportoi vulnerabilities furnizuesve të prekur dhe të pesë chains përshkruhen si të korrigjuara. Nuk ka prova se ndonjëra prej tyre është përdorur në një sulm real.
Frontier Red Team i Anthropic thotë se modelit iu deshën vetëm udhëzimet fillestare dhe ndihmë e kufizuar njerëzore, por kompania nuk ka bërë të ditur emrin e modelit dhe as nuk ka dokumentuar saktësisht se çfarë kontributi dhanë njerëzit në secilën fazë. Për këtë arsye, pretendimi i saj më i gjerë, se një AI model mund të bashkonte në mënyrë të pavarur disa dobësi në exploits të plota, mbështetet pjesërisht në deklaratën e Anthropic. Të dhënat e furnizuesve ia njohin në mënyrë të pavarur meritën Anthropic dhe Claude për disa korrigjime në Chrome dhe Apple, megjithëse regjistri publik i Windows nuk identifikon se kush e gjeti dobësinë.
Chrome chain kombinoi katër vulnerabilities. Fillimisht, një web page keqdashëse dëmtoi memory brenda V8, JavaScript engine të Chrome. Një dobësi e dytë doli nga memory sandbox i V8, një kufi izolimi i synuar për të kufizuar se ku mund të arrijë kodi i komprometuar, dhe mori kontrollin e komponentit të browser përgjegjës për renderimin e faqes. Më pas, chain përdori një race condition në CacheStorage, ku rezultati varet nga kryerja e veprimeve në një rend të papritur, për të zbuluar memory layout të një procesi Chrome me privilegje më të larta.
Një dobësi përfundimtare use-after-free në FedCM, funksioni i identifikimit të Chrome, i lejoi kodit të dilte plotësisht nga browser sandbox. Një use-after-free ndodh kur software vazhdon ta përdorë memory pasi duhej ta kishte liruar atë. Anthropic e demonstroi rezultatin në një Mac me konfigurim standard: brenda pak sekondash nga ngarkimi i një faqeje në Chrome, aplikacioni Calculator u hap pa asnjë klikim tjetër. Kushtet e deklaruara ishin një klikim ose ngarkimi i një faqeje në Chrome standard për macOS. Korrigjimi u përfshi në Chrome 156 më 20 tetor.
Anthropic thotë se raportoi 62 dobësi të Chrome që morën CVE identifiers dhe u korrigjuan nga Chrome 156. Kompania i përshkroi të gjitha si me severity kritik ose të lartë, përfshirë 13 sandbox escapes. Release notes të Google ia njohin meritën për korrigjime të caktuara një kërkuesi të Anthropic të ndihmuar nga Claude, por nuk ia atribuojnë në këtë mënyrë të 62 vulnerabilities. Për pronarët e faqeve dhe ekipet e hosting, mësimi i menjëhershëm është operacional dhe jo teorik: browser që përdoren për administrimin e faqeve duhet të përditësohen pa vonesë, sepse përndryshe një faqe keqdashëse mund të shndërrohet në një rrugë drejt code execution në kompjuterin e administratorit.
Safari chain nuk ekzekutoi kod të ri. Në vend të kësaj, ajo fitoi read dhe write access në browser memory dhe ndryshoi një vlerë për të çaktivizuar same-origin policy, rregullin e browser që ndalon një website të hyjë në informacionin që i përket një website tjetër. Më pas, një faqe keqdashëse mund të lexonte browsing history dhe cookies ose t'u dërgonte requests shërbimeve ku viktima ishte tashmë e identifikuar, përfshirë shërbimet e emailit ose faqet bankare. Apple korrigjoi dobësinë kryesore use-after-free në iOS dhe iPadOS 26.5.2 më 29 qershor dhe ua njohu meritën kërkuesve të Anthropic që punuan me Claude. Exploitation kërkonte vizitën e një faqeje keqdashëse.
Android chain kërkonte posedimin fizik të një telefoni të kyçur dhe një lidhje USB. Anthropic thotë se ajo mund të kopjonte fotografi dhe informacione të tjera nga një pajisje e vjedhur. Kompania thotë gjithashtu se Google e korrigjoi problemin, por nuk u gjet asnjë regjistër publik përkatës i vulnerability. Kjo do të thotë se statusi i raportuar i korrigjimit varet nga përshkrimi i Anthropic dhe jo nga një advisory publik që mund të identifikohet veçmas.
Windows chain ishte një denial-of-service exploit, i cili e bën një sistem të padisponueshëm në vend që të ekzekutojë kod ose të vjedhë informacione. Një numër i vogël network packets mund të rrëzonin një server që u përgjigjej HTTP/3 requests dhe dërgimi i tyre në mënyrë të përsëritur mund ta mbante makinën jashtë funksionit. Anthropic përshkroi një out-of-bounds read, ku software lexon përtej zonës së memory që i është caktuar, në përpunimin QUIC të Windows kernel. Kompania e lidhi chain me CVE-2026-33096, të korrigjuar në prill 2026 dhe të vlerësuar me 7.5 nga 10.
Regjistri publik për CVE-2026-33096 identifikon në vend të kësaj HTTP.sys, web request handler të integruar në Windows, dhe nuk përmend se kush e gjeti dobësinë. Asnjë regjistër publik i hapur nuk e lidh atë përshkrim të komponentit me përshkrimin e Anthropic për QUIC handling në kernel. Në fund të tetorit, sistemi i pasurimit të të dhënave për vulnerabilities i qeverisë së SHBA-së e shënonte dobësinë si të pashfrytëzuar dhe ajo nuk ishte në katalogun e CISA për vulnerabilities që dihet se janë shfrytëzuar.
Linux chain kishte ndikimin më të lartë të deklaruar, sepse mund të ekzekutonte commands si root, account me kontroll të plotë mbi sistemin, pa login ose ndërhyrje të përdoruesit. Ajo prekte server që përdornin një multipath TCP listener, i cili pranon network connections të afta të përdorin më shumë se një path. Exploit fillimisht zbuloi një kernel memory address për të anashkaluar Kernel Address Space Layout Randomization, ose KASLR, një mekanizëm mbrojtës që fsheh vendndodhje të rëndësishme në memory. Më pas ripërdori të njëjtin race-condition bug për ta ridrejtuar execution te kodi i dhënë nga sulmuesi dhe për të marrë një root shell.
Anthropic thotë se Linux proof of concept të saj i duheshin 48 minuta për të zbuluar address dhe pesë minuta të tjera për të arritur te root shell. Një përpjekje e dështuar nuk e rrëzonte objektivin, duke lejuar përsëritjen e përpjekjeve. Kompania e lidh chain me CVE-2026-98432, një use-after-free vulnerability e vlerësuar me 9.8 dhe e korrigjuar upstream më 15 tetor. Megjithatë, përshkrimi publik i CVE i referohet një korrigjimi IPv4 TCP dhe jo multipath TCP, ndërsa lidhja midis dy përshkrimeve dokumentohet vetëm në postimin e Anthropic.
Anthropic thotë se ndoqi një proces coordinated disclosure që u jep zhvilluesve 90 ditë për të korrigjuar dobësitë e raportuara, të pasuara nga 45 ditë shtesë përpara se të diskutohen hollësi teknike përtej një advisory publik. Kompania gjithashtu i drejton profesionistët e verifikuar të sigurisë te programi i saj i zgjeruar Cyber Verification Program, i cili ofron qasje në Claude Opus 5.5, Sonnet 5.5 dhe Mythos 5.1. Kërkimi mbështet mundësinë që AI models të ndihmojnë në zhvillimin e exploits komplekse, por modeli i papublikuar dhe kontributi njerëzor i paspecifikuar e kufizojnë vlerësimin e pavarur se sa në mënyrë autonome u krijuan këto chains.
Për organizatat që vlerësojnë patching në platforma të ndryshme, AEU-I ofron IT, infrastructure dhe consulting me sigurinë si përparësi. Pavarësisht se si u gjetën dobësitë, administratorët duhet t'i trajtojnë korrigjimet e furnizuesve si pjesën e zbatueshme të lajmit: të përditësojnë browser, telefonat, sistemet Windows dhe Linux servers që janë të ekspozuar dhe të verifikojnë nëse shërbimet e aksesueshme nga interneti përdorin konfigurimet e prekura HTTP/3 ose multipath TCP.