Anthropic afferma che un modello di IA interno non ancora rilasciato ha individuato e combinato vulnerabilità in exploit funzionanti contro Chrome, Safari, Android, Windows e Linux. Le dimostrazioni includevano l'esecuzione di codice al di fuori della sandbox di Chrome, l'estrazione di dati da un telefono Android bloccato e l'esecuzione di comandi come root su un server Linux.
Il post di ricerca dell'azienda descrive proof of concept di laboratorio, con requisiti di accesso diversi per ciascun bersaglio. Anthropic afferma di aver segnalato le vulnerabilità ai fornitori e che le correzioni sono disponibili per tutti e cinque i casi. Si tratta di dimostrazioni di ricerca, non di attacchi segnalati contro gli utenti.
La tesi centrale sulle capacità, secondo cui il modello ha assemblato catene di exploit sofisticate dopo un prompt iniziale e con scarso coinvolgimento umano, proviene da Anthropic. L'azienda non identifica il modello, se non definendolo un modello di ricerca interno, e non fornisce un resoconto passo per passo dell'assistenza umana.
Gli exploit per i browser hanno superato confini di sicurezza diversi
Nella dimostrazione su Chrome, Anthropic afferma che una pagina aperta in un browser standard con configurazione predefinita su macOS ha avviato Calcolatrice in pochi secondi, senza ulteriori interazioni. Questo dimostrava l'esecuzione di codice con i privilegi dell'utente al di fuori della sandbox del browser, cioè il confine pensato per contenere i contenuti web compromessi.
La catena combinava quattro vulnerabilità. Una falla nel motore JavaScript V8 ha corrotto la memoria; una seconda ha eluso la sandbox di memoria di V8 e ha consentito il controllo del processo di rendering. Una race condition in CacheStorage ha poi esposto informazioni di memoria sul processo del browser, più privilegiato. Infine, una vulnerabilità use-after-free in FedCM, la funzione di accesso federato di Chrome, ha consentito l'esecuzione di codice al di fuori della sandbox di processo.
Anthropic afferma che la sua più ampia ricerca su Chrome ha prodotto 62 CVE assegnati, tutti classificati come critici o alti e corretti a partire da Chrome 156. Tra questi figurano 13 escape dalla sandbox e 21 vulnerabilità in grado di compromettere il processo di rendering.
La dimostrazione su Safari mirava all'accesso ai dati senza basarsi sull'esecuzione arbitraria di codice. Anthropic afferma che la catena combinava un use-after-free in JavaScriptCore, debolezze legate alla protezione della memoria Gigacage di WebKit e una vulnerabilità nella comunicazione con la sandbox. L'exploit ha acceduto a cronologia, cookie e database di sessione memorizzati, poi ha modificato un flag di sicurezza per disattivare la same-origin policy, cioè la regola che impedisce a un sito di leggere i dati di un altro.
Ciò permetterebbe a una pagina malevola di inviare richieste autenticate ad altri siti e di leggerne le risposte. Anthropic riporta esempi di lettura della posta, di consultazione del saldo bancario e di tentativi di bonifico quando l'utente è già autenticato; non segnala furti effettivi di account né trasferimenti.
Anthropic afferma che Apple ha reso disponibile la correzione. The Hacker News riferisce che Apple ha corretto il use-after-free centrale in iOS e iPadOS 26.5.2, rilasciato il 29 giugno, attribuendo il merito a «Milad Nasr e Nicholas Carlini con Claude, Anthropic».
Android richiedeva accesso fisico; gli attacchi ai server, dei listener
L'exploit per Android richiedeva l'accesso fisico a un telefono bloccato tramite USB. Anthropic afferma che il lavoro ha compreso test su un Google Pixel 9, affiancati ad analisi del codice sorgente e reverse engineering dei servizi Google Play.
L'exploit aggirava le restrizioni sui trasferimenti USB da dispositivi bloccati, l'autorizzazione del peer e la verifica di un codice di abbinamento a sei cifre. Ha poi usato un meccanismo di ripiego per recuperare il contenuto dei file, nonostante una restrizione separata sul trasferimento di tali contenuti via USB. Anthropic afferma che ciò ha permesso di estrarre foto e altre informazioni personali senza sbloccare il telefono e che Google ha risolto il problema. Non indica una versione Android corretta né stabilisce che tutti i dispositivi Android fossero interessati.
La dimostrazione per Windows aveva una conseguenza più limitata: un denial of service. Anthropic afferma che pochi pacchetti potrebbero mandare in crash e riavviare una macchina che risponde a richieste HTTP/3 tramite l'implementazione nativa di Windows. Ripetere le richieste potrebbe mantenere il server non disponibile; la dimostrazione non ha stabilito esecuzione di codice né furto di dati.
Anthropic identifica la falla come CVE-2026-33096 e descrive una lettura fuori dai limiti nell'implementazione QUIC del kernel di Windows. The Hacker News riferisce invece che il registro pubblico indica HTTP.sys, il gestore delle richieste web di Windows, e riporta come data di patch aprile 2026. La fonte non stabilisce come corrispondano quelle descrizioni dei componenti, e il registro non indica chi ha trovato la falla. L'attribuzione ad Anthropic si basa quindi sul resoconto dell'azienda.
Per Linux, Anthropic afferma che il bersaglio richiedeva un listener multipath TCP. Il suo exploit ha riutilizzato un use-after-free causato da una race condition, prima per rivelare un indirizzo del kernel e aggirare la randomizzazione degli indirizzi del kernel, poi per reindirizzare l'esecuzione e far eseguire come root un comando scelto dall'attaccante, senza credenziali né interazione dell'utente.
Nella proof of concept dell'azienda, l'estrazione dell'indirizzo ha richiesto 48 minuti e raggiungere l'esecuzione del comando altri cinque. Anthropic afferma che i tentativi non riusciti facevano fallire l'handshake senza mandare in crash il sistema, consentendo di riprovare.
L'azienda associa quella catena a CVE-2026-98432 e afferma che la correzione è stata applicata a monte e retroportata a tutti i rami stabili del kernel mantenuti. The Hacker News riferisce una data di patch a monte del 15 ottobre, ma segnala anche che il registro CVE pubblico descrive una correzione per TCP su IPv4 e non una falla di multipath TCP. Il collegamento tra quell'identificativo e la catena dimostrata si basa sul post di Anthropic; le due descrizioni non vanno trattate come un perimetro di prodotti interessati confermato in modo indipendente.
