Anthropic affirme qu'un modèle d'IA interne et non publié a découvert des vulnérabilités et les a combinées en exploits fonctionnels contre Chrome, Safari, Android, Windows et Linux. Les démonstrations comprenaient l'exécution de code en dehors du bac à sable de Chrome, l'extraction de données d'un téléphone Android verrouillé et l'exécution de commandes en root sur un serveur Linux.
Le article de recherche de l'entreprise décrit des preuves de concept réalisées en laboratoire, avec des conditions d'accès différentes pour chaque cible. Anthropic indique avoir signalé les vulnérabilités aux éditeurs et que des correctifs sont disponibles pour les cinq cas. Il s'agit de démonstrations de recherche, et non d'attaques signalées contre des utilisateurs.
L'affirmation centrale, selon laquelle le modèle a assemblé des chaînes d'exploitation sophistiquées après une consigne initiale et avec peu d'intervention humaine, vient d'Anthropic. L'entreprise ne va pas au-delà de la désignation de « modèle de recherche interne » pour identifier le modèle et ne fournit pas de bilan étape par étape de l'aide humaine.
Les exploits de navigateur ont franchi différentes frontières de sécurité
Dans la démonstration sur Chrome, Anthropic indique qu'une page ouverte dans un navigateur standard, à configuration par défaut, sur macOS a lancé la Calculette en quelques secondes, sans autre interaction. Cela démontrait une exécution de code, au nom de l'utilisateur, en dehors du bac à sable du navigateur, c'est-à-dire la frontière censée contenir un contenu web compromis.
Cette chaîne combinait quatre vulnérabilités. Une faille du moteur JavaScript V8 a corrompu la mémoire ; une deuxième a contourné le bac à sable mémoire de V8 et permis de prendre le contrôle du processus de rendu. Une condition de concurrence (race condition) dans CacheStorage a ensuite exposé des informations mémoire sur le processus du navigateur, qui dispose de privilèges plus étendus. Enfin, une vulnérabilité use-after-free dans FedCM, la fonctionnalité de connexion fédérée de Chrome, a permis une exécution de code en dehors du bac à sable de processus.
Anthropic indique que ses recherches plus larges sur Chrome ont abouti à 62 CVE attribuées, toutes notées critiques ou élevées et corrigées à partir de Chrome 156. Parmi elles figurent treize échappements de bac à sable et vingt et une vulnérabilités susceptibles de compromettre le processus de rendu.
La démonstration Safari visait l'accès aux données sans recourir à une exécution de code arbitraire. Anthropic indique que la chaîne combinait un use-after-free dans JavaScriptCore, des faiblesses liées à la protection mémoire Gigacage de WebKit et une vulnérabilité de communication du bac à sable. Elle a accédé à l'historique enregistré, aux cookies et aux bases de données de session, puis a modifié un indicateur de sécurité pour désactiver la politique de même origine, c'est-à-dire la règle qui empêche un site de lire les données d'un autre site.
Cela permettrait à une page malveillante d'envoyer des requêtes authentifiées à d'autres sites et d'en lire les réponses. Anthropic cite comme exemples la lecture d'e-mails, la consultation de soldes bancaires et des tentatives de virement lorsque l'utilisateur est déjà connecté. Elle ne signale ni vol de comptes réel ni virements effectués.
Anthropic indique que le correctif d'Apple est disponible. The Hacker News rapporte qu'Apple a corrigé la faille use-after-free centrale dans iOS et iPadOS 26.5.2, publiés le 29 juin, et qu'il a crédité « Milad Nasr and Nicholas Carlini with Claude, Anthropic. »
Android exigeait un accès physique, les attaques serveur des écouteurs
L'exploit Android nécessitait un accès physique à un téléphone verrouillé, via USB. Anthropic indique que son travail comprenait des tests sur un Google Pixel 9, ainsi qu'une analyse du code source et une rétro-ingénierie des services Google Play.
L'exploit contournait les restrictions sur les transferts USB depuis des appareils verrouillés, l'autorisation entre appareils (peer authorization) et la vérification d'un code d'appairage à six chiffres. Il utilisait ensuite un mécanisme de repli pour récupérer le contenu des fichiers, malgré une restriction distincte qui empêche de faire transiter ce contenu par USB. Anthropic affirme que cela a permis d'extraire des photos et d'autres données personnelles sans déverrouiller le téléphone, et que Google a corrigé le problème. Elle ne cite pas de version Android corrigée précise et n'établit pas que tous les appareils Android étaient touchés.
La démonstration Windows avait une portée plus limitée : un déni de service. Anthropic indique que quelques paquets pouvaient faire planter puis redémarrer une machine répondant à des requêtes HTTP/3 via l'implémentation native de Windows. La répétition des requêtes pourrait maintenir le serveur indisponible ; la démonstration n'a pas établi d'exécution de code ni de vol de données.
Anthropic attribue la faille à la CVE-2026-33096 et décrit une lecture hors limites dans l'implémentation QUIC du noyau Windows. The Hacker News rapporte que la fiche publique désigne plutôt HTTP.sys, le gestionnaire de requêtes web de Windows, et indique une date de correctif en avril 2026. L'article ne précise pas comment ces deux descriptions de composant se recoupent, et la fiche n'indique aucun découvreur. L'attribution à Anthropic repose donc sur le récit de l'entreprise.
Pour Linux, Anthropic indique que la cible devait disposer d'un écouteur multipath TCP. Son exploit a d'abord utilisé une vulnérabilité use-after-free provoquée par une condition de concurrence pour divulguer une adresse du noyau et contourner la randomisation des adresses noyau, puis pour rediriger l'exécution et lancer, en tant que root, une commande choisie par l'attaquant, sans identifiants ni interaction de l'utilisateur.
Dans la preuve de concept de l'entreprise, la divulgation de l'adresse a pris 48 minutes, et l'obtention de l'exécution de commandes cinq minutes supplémentaires. Anthropic indique que les tentatives infructueuses échouaient lors de la poignée de main (handshake) sans faire planter le système, ce qui permettait de réessayer.
L'entreprise associe cette chaîne à la CVE-2026-98432 et indique que le correctif a été appliqué en amont et rétroporté vers toutes les branches stables maintenues du noyau. The Hacker News indique une date de correctif en amont au 15 octobre, mais signale aussi que la fiche CVE publique décrit un correctif TCP IPv4 plutôt qu'une faille multipath TCP. Le lien entre cet identifiant et la chaîne démontrée repose sur l'article d'Anthropic. Les deux descriptions ne doivent pas être considérées comme une portée des produits concernés confirmée de façon indépendante.
