Anthropic zufolge hat ein unveröffentlichtes internes KI-Modell Schwachstellen entdeckt und zu funktionierenden Exploits kombiniert, die sich gegen Chrome, Safari, Android, Windows und Linux richteten. Zu den Demonstrationen gehörte, Code außerhalb der Sandbox von Chrome auszuführen, Daten von einem gesperrten Android-Telefon auszulesen und Befehle als Root auf einem Linux-Server auszuführen.
Der Forschungsbeitrag des Unternehmens beschreibt Labor-Proofs-of-Concept, wobei für jedes Ziel andere Zugriffsvoraussetzungen gelten. Anthropic zufolge hat das Unternehmen die Schwachstellen den Herstellern gemeldet, und für alle fünf Fälle seien Korrekturen verfügbar. Dabei handelt es sich um Forschungsdemonstrationen, nicht um gemeldete Angriffe auf Nutzer.
Die zentrale Behauptung zu den Fähigkeiten des Modells stammt von Anthropic: Es habe nach einer ersten Aufforderung und mit wenig menschlichem Zutun ausgefeilte Exploit-Ketten zusammengesetzt. Das Unternehmen bezeichnet das Modell lediglich als internes Forschungsmodell und liefert keine schrittweise Aufstellung der menschlichen Unterstützung.
Browser-Exploits überschritten verschiedene Sicherheitsgrenzen
In der Chrome-Demonstration startete laut Anthropic eine Seite in einem unveränderten Standardbrowser unter macOS innerhalb weniger Sekunden den Taschenrechner, ohne dass der Nutzer weiter eingreifen musste. Damit wurde Codeausführung als Nutzer außerhalb der Browser-Sandbox gezeigt, also jener Grenze, die kompromittierte Webinhalte eindämmen soll.
Die Kette kombinierte vier Schwachstellen. Ein Fehler in der JavaScript-Engine V8 beschädigte den Speicher; eine zweite umging die Speicher-Sandbox von V8 und ermöglichte die Kontrolle über den Renderer-Prozess. Eine Race Condition in CacheStorage legte danach Speicherinformationen über den privilegierteren Browser-Prozess offen. Schließlich ermöglichte eine Use-after-free-Schwachstelle in FedCM, Chromes Funktion für föderierte Anmeldung, Codeausführung außerhalb der Prozess-Sandbox.
Anthropic zufolge umfassten die breiteren Chrome-Untersuchungen 62 zugewiesene CVEs. Alle seien als kritisch oder hoch eingestuft und bis Chrome 156 gepatcht worden. Darunter waren 13 Sandbox-Escapes und 21 Schwachstellen, die den Renderer kompromittieren könnten.
Die Safari-Demonstration zielte auf Datenzugriff ab, ohne auf beliebige Codeausführung angewiesen zu sein. Laut Anthropic kombinierte die Kette eine Use-after-free-Schwachstelle in JavaScriptCore, Schwächen beim Gigacage-Speicherschutz von WebKit und eine Sandbox-Kommunikationsschwachstelle. Sie griff auf gespeicherten Verlauf, Cookies und Sitzungsdatenbanken zu und änderte dann ein Sicherheitsflag, um die Same-Origin-Policy zu deaktivieren. Diese Regel verhindert, dass eine Website Daten einer anderen Website liest.
Damit könnte eine bösartige Seite authentifizierte Anfragen an andere Websites senden und deren Antworten lesen. Anthropic nennt als Beispiele das Lesen von E-Mails, das Anzeigen von Kontoständen und Überweisungsversuche, wenn der Nutzer bereits angemeldet ist. Einen tatsächlichen Kontodiebstahl oder tatsächliche Überweisungen berichtet das Unternehmen nicht.
Anthropic zufolge steht Apples Korrektur bereit. The Hacker News berichtet, dass Apple die zentrale Use-after-free-Schwachstelle in iOS und iPadOS 26.5.2 behoben hat, die am 29. Juni veröffentlicht wurde. Dabei nannte Apple als Urheber „Milad Nasr and Nicholas Carlini with Claude, Anthropic“.
Android erforderte physischen Zugriff; Server-Angriffe setzten Listener voraus
Für den Android-Exploit war physischer Zugriff auf ein gesperrtes Telefon über USB nötig. Anthropic zufolge umfasste die Arbeit Tests auf einem Google Pixel 9, dazu Quellcode-Analyse und Reverse Engineering der Google-Play-Dienste.
Der Exploit umging Einschränkungen für USB-Übertragungen von gesperrten Geräten, die Peer-Autorisierung und die Prüfung eines sechsstelligen Kopplungscodes. Anschließend nutzte er einen Fallback-Mechanismus, um Dateiinhalte abzurufen, obwohl deren Übertragung über USB separat eingeschränkt war. Laut Anthropic ermöglichte dies das Auslesen von Fotos und anderen persönlichen Daten, ohne das Telefon zu entsperren. Google habe das Problem behoben. Ein bestimmtes Android-Release wird nicht genannt, und es wird nicht belegt, dass alle Android-Geräte betroffen waren.
Die Windows-Demonstration hatte eine engere Folge: eine Dienstverweigerung. Laut Anthropic könnten wenige Pakete einen Rechner, der HTTP/3-Anfragen über die native Windows-Implementierung beantwortet, zum Absturz bringen und einen Neustart auslösen. Wiederholte Anfragen könnten den Server dauerhaft nicht erreichbar machen. Die Demonstration belegte weder Codeausführung noch Datendiebstahl.
Anthropic identifiziert die Schwachstelle als CVE-2026-33096 und beschreibt ein Out-of-bounds-Read in der QUIC-Implementierung des Windows-Kernels. The Hacker News berichtet dagegen, dass das öffentliche Register stattdessen HTTP.sys, den Web-Request-Handler von Windows, nennt, und gibt ein Patch-Datum im April 2026 an. Die Berichterstattung legt nicht dar, wie sich diese Komponentenbeschreibungen zueinander verhalten, und das Register nennt keinen Entdecker. Die Zuschreibung an Anthropic beruht daher auf der Darstellung des Unternehmens.
Für Linux benötigte das Ziel laut Anthropic einen Multipath-TCP-Listener. Der Exploit nutzte zunächst eine durch eine Race Condition ausgelöste Use-after-free-Schwachstelle, um eine Kernel-Adresse preiszugeben und die Kernel-Adressrandomisierung zu umgehen. Danach lenkte er die Ausführung um und führte einen vom Angreifer gewählten Befehl als Root aus, ohne Zugangsdaten oder Nutzerinteraktion.
Im Proof of Concept des Unternehmens dauerte das Auslesen der Adresse 48 Minuten, das Erreichen der Befehlsausführung weitere fünf Minuten. Laut Anthropic brachen erfolglose Versuche den Handshake ab, ohne das System zum Absturz zu bringen, sodass Wiederholungen möglich waren.
Das Unternehmen ordnet diese Kette CVE-2026-98432 zu und gibt an, die Korrektur sei upstream eingespielt und in alle gepflegten stabilen Kernel-Zweige zurückportiert worden. The Hacker News nennt ein Upstream-Patch-Datum vom 15. Oktober, weist aber auch darauf hin, dass der öffentliche CVE-Eintrag eine Korrektur für TCP über IPv4 beschreibt und keinen Fehler in Multipath TCP. Die Verbindung zwischen dieser Kennung und der vorgeführten Kette beruht auf dem Beitrag von Anthropic. Die beiden Beschreibungen sollten nicht als unabhängig bestätigter Umfang betroffener Produkte behandelt werden.
