Das Unternehmen Anthropic hat eine Studie veröffentlicht, in der es erklärt, dass ein unveröffentlichtes internes Claude-Modell Schwachstellen in Google Chrome, Safari, Android, Windows und Linux entdeckt und sie zu fünf funktionierenden Exploit-Ketten kombiniert hat. Nach Angaben von Anthropic wurden alle Schwachstellen den Herstellern vor der Veröffentlichung gemeldet und bereits behoben. Die Exploits wurden unter Laborbedingungen erstellt und bisher nicht in realen Angriffen beobachtet. Allerdings stützen sich mehrere zentrale Aussagen des Unternehmens – insbesondere zur Autonomie des Modells und zum Umfang der gefundenen Schwachstellen – überwiegend auf den eigenen Bericht von Anthropic, und unabhängige Verifizierungen bestätigen nur einen Teil davon.
Was unabhängig bestätigt ist – und was nicht
Die zentrale Behauptung von Anthropic, dass ein einziges Modell mit „minimaler menschlicher Beteiligung“ mehrere voneinander unabhängige Schwachstellen gefunden und daraus einen funktionierenden Exploit gebaut habe, war bislang spezialisierten Forscherteams vorbehalten. Diese Aussage stützt sich ausschließlich auf den eigenen Bericht des Unternehmens: Anthropic legt nicht offen, welche konkreten Schritte der Mensch in den einzelnen Phasen übernommen hat, und nennt das Modell nicht, sondern begnügt sich mit der Beschreibung „unveröffentlichtes internes Forschungsmodell“.
Es gibt jedoch eine teilweise unabhängige Bestätigung. Die Release Notes zu Chrome 156 führen Xinyang Ge von Anthropic mit Unterstützung durch Claude als Autor mindestens eines Patches auf. Das bestätigt die Beteiligung des Claude-Modells beim Auffinden von Chrome-Schwachstellen, aber nicht den von Anthropic beanspruchten Gesamtumfang – 62 CVE, 13 Sandbox-Escapes und 21 Schwachstellen, die den Renderer kompromittieren.
Fünf Exploit-Ketten: technische Details
Chrome: vierstufige Kette bis zur Codeausführung
Laut Anthropic nutzte das Modell nacheinander vier separate Schwachstellen aus: eine Speicherbeschädigung in der V8-Engine, einen Sandbox-Escape in V8, eine Race Condition in CacheStorage zum Auslesen des Speichers eines privilegierten Browser-Prozesses und eine use-after-free-Schwachstelle in FedCM zur Codeausführung außerhalb der Sandbox. Der Demonstrations-Exploit soll auf einem Mac mit Chrome wenige Sekunden nach dem Laden einer Seite ohne weitere Nutzerinteraktion die App „Rechner“ gestartet haben. Die Patches flossen in Chrome 156 ein (Builds 156.0.8078.47 für Linux, 156.0.8078.47/.48 für Windows und Mac), der am 20. Oktober 2026 veröffentlicht wurde.
Safari: Umgehung der same-origin policy ohne Codeausführung
Die Kette für Safari unterscheidet sich grundlegend: Nach der Beschreibung von Anthropic führt sie keinen beliebigen Code aus, sondern erhält vollständigen Lese- und Schreibzugriff auf den Browser-Speicher und deaktiviert die same-origin policy (eine Regel, die verhindert, dass eine Website die Daten einer anderen ausliest). Dadurch kann eine bösartige Seite den Verlauf, Cookies und authentifizierte Anfragen an andere Websites auslesen bzw. senden. Apple hat nach Angaben von Anthropic die zentrale use-after-free-Schwachstelle in iOS und iPadOS 26.5.2 behoben und dabei „Milad Nasr and Nicholas Carlini with Claude, Anthropic“ als Autoren genannt. Die öffentlich zugängliche Apple-Update-Seite enthält jedoch keinen direkten Hinweis auf genau diese Kette.
Windows: Denial-of-Service mit Abweichungen in der Beschreibung
Die Kette für Windows ist vom Einfluss her am engsten gefasst: Es handelt sich um einen Denial-of-Service-Angriff, bei dem einige wenige Netzwerkpakete einen Systemabsturz auslösen. Anthropic beschreibt die Schwachstelle als out-of-bounds read bei der QUIC-Verarbeitung im Windows-Kernel. Der Eintrag zu CVE-2026-33096 bei Tenable beschreibt die betroffene Komponente jedoch als HTTP.sys – den integrierten HTTP-Request-Handler von Windows – und nicht als QUIC-Subsystem des Kernels. Die CVSS-Bewertung liegt bei 7.5 (High), und es geht um einen netzwerkbasierten Denial-of-Service, nicht um Remote Code Execution. Der öffentliche CVE-Eintrag nennt nach aktuellem Stand keinen Entdecker, daher stützt sich die Zuordnung dieser Schwachstelle zu Anthropic und Claude ausschließlich auf die Aussage des Unternehmens selbst.
Linux: Remote Code Execution als root
Die potenziell gravierendste Kette ist die für Linux. Nach Angaben von Anthropic ermöglicht der Exploit, ohne Authentifizierung per Netzwerk Befehle mit root-Rechten auszuführen, sofern der Zielserver einen multipath TCP Listener verwendet. Das Modell umgeht zunächst KASLR (die Randomisierung des Kernel-Adressraums), indem es innerhalb von 48 Minuten eine Kernel-Speicheradresse exfiltriert, und erhält anschließend in 5 Minuten eine root-Shell. Anthropic verknüpft diese Kette mit CVE-2026-98432, das mit 9.8 (Critical) bewertet ist. Allerdings gibt es auch hier eine Abweichung: Der CVE-Eintrag beschreibt eine use-after-free-Schwachstelle in IPv4 TCP, nicht in multipath TCP. Die Verbindung zwischen beiden Beschreibungen wird ausschließlich durch die Veröffentlichung von Anthropic hergestellt.
Android: Umgehung des Sperrbildschirms
Anthropic berichtet außerdem, dass das Modell einen Exploit entwickelt habe, um Fotos und persönliche Daten von einem gesperrten Android-Gerät zu extrahieren. Für diese Schwachstelle ließ sich weder ein CVE-Identifier noch ein bestätigender Sicherheitshinweis von Google finden.
Abweichungen und Grenzen der Verifizierung
Die Analyse der verfügbaren Quellen zeigt mehrere wesentliche Abweichungen zwischen den Aussagen von Anthropic und den öffentlichen Schwachstellen-Einträgen:
- CVE-2026-33096: Anthropic beschreibt eine QUIC-Komponente des Windows-Kernels, der CVE-Eintrag nennt HTTP.sys – das sind unterschiedliche Komponenten, und offene Quellen stellen keinen Zusammenhang her.
- CVE-2026-98432: Anthropic beschreibt multipath TCP, der CVE-Eintrag bezieht sich auf IPv4 TCP. Die Verbindung wird ausschließlich durch die Veröffentlichung von Anthropic hergestellt.
- Die Aussage zu 62 CVE in Chrome, darunter 13 Sandbox-Escapes, wird nur durch den Bericht von Anthropic gestützt; die Release Notes zu Chrome 156 bestätigen die Zuordnung einzelner Patches, aber nicht das gesamte Volumen.
- Keine der Schwachstellen ist nach Stand Ende Oktober 2026 im CISA-KEV-Katalog verzeichnet oder als in realen Angriffen ausgenutzt markiert.
Wir haben das Update Chrome 156 bereits ausführlich analysiert, in dem Google Hunderte von Schwachstellen behoben hat, darunter auch solche, die mit Hilfe von KI-Werkzeugen entdeckt wurden.
Bewertung der Auswirkungen
Sollten die Aussagen von Anthropic zutreffen, würde dies einen qualitativen Sprung bei den Möglichkeiten des automatisierten Schwachstellen-Findens bedeuten. Ein Modell, das eigenständig Schwachstellen entdecken und zu Exploit-Ketten kombinieren kann, senkt die Einstiegshürde für die Entwicklung komplexer Angriffe drastisch – eine Arbeit, die zuvor den monatelangen Aufwand spezialisierter Teams erforderte.
Die betroffenen Produkte decken praktisch das gesamte Spektrum der Nutzerplattformen ab: Chrome und Safari sind die beiden dominierenden Browser, Windows und Linux die wichtigsten Server- und Desktop-Betriebssysteme, Android eine mobile Plattform mit Milliarden von Geräten. Das größte Risiko stellt die Linux-Kette dar (CVSS 9.8, Remote Code Execution als root), auch wenn sie eine spezifische Konfiguration mit multipath TCP voraussetzt.
Empfehlungen
- Chrome: Aktualisieren Sie auf Version 156.0.8078.47 oder höher. Prüfen Sie die aktuelle Version über
chrome://version. - iOS/iPadOS: Installieren Sie das Update auf Version 26.5.2 über „Einstellungen → Allgemein → Softwareupdate“.
- Windows: Spielen Sie die neuesten Sicherheitsupdates ein, die CVE-2026-33096 beheben.
- Linux: Aktualisieren Sie den Kernel auf eine Version, die den Patch für CVE-2026-98432 enthält (upstream am 15. Oktober behoben). Server mit multipath TCP haben Priorität.
- Für Organisationen, die KI-Werkzeuge in der Security-Forschung einsetzen: Anthropic bietet verifizierten Fachleuten Zugriff auf Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1 über das Cyber Verification Program an.
Die Veröffentlichung von Anthropic markiert einen wichtigen Moment: KI-Modelle gehen von der theoretischen Fähigkeit, Schwachstellen zu finden, zur Demonstration funktionierender Exploit-Ketten über. Zugleich bleibt ein wesentlicher Teil der Aussagen des Unternehmens bislang nur durch den eigenen Bericht belegt. Unabhängig davon, wie stark man diesen Aussagen vertraut, ist der praktische Schluss eindeutig: Alle beschriebenen Schwachstellen sind von den Herstellern bereits behoben worden, und die vorrangige Maßnahme besteht darin, sicherzustellen, dass Ihre Systeme auf aktuelle Versionen von Chrome 156, iOS/iPadOS 26.5.2 sowie die neuesten Linux- und Windows-Kernel-Patches aktualisiert sind.
