Компанія Anthropic опублікувала дослідження, у якому заявляє, що неопублікована внутрішня модель Claude виявила вразливості в Google Chrome, Safari, Android, Windows і Linux та об’єднала їх у п’ять робочих ланцюжків експлойтів. За даними Anthropic, усі вразливості були розкриті вендорам до публікації й уже виправлені. Експлойти створені в лабораторних умовах і не були зафіксовані в реальних атаках. Втім, низка ключових заяв компанії — зокрема, щодо ступеня автономності моделі та масштабу знайдених вразливостей — спирається переважно на власний звіт Anthropic, а незалежна верифікація підтверджує лише частину з них.
Що підтверджено незалежно, а що — ні
Центральне твердження Anthropic — що одна модель з «мінімальною участю людини» знайшла кілька розрізнених вразливостей і зібрала з них робочий експлойт — досі було прерогативою вузькоспеціалізованих команд дослідників. Це твердження спирається виключно на власний звіт компанії: Anthropic не розкриває, які саме дії виконував фахівець на кожному етапі, і не називає модель, обмежуючись описом «неопублікована внутрішня дослідницька модель».
Часткове незалежне підтвердження все ж існує. Примітки до випуску Chrome 156 вказують Xinyang Ge з Anthropic за сприяння Claude як автора щонайменше одного виправлення. Це підтверджує факт участі моделі Claude у виявленні вразливостей Chrome, але не підтверджує заявлений масштаб — 62 CVE, 13 втеч із пісочниці та 21 вразливість, що компрометує renderer.
П’ять ланцюжків експлойтів: технічні подробиці
Chrome: чотириланцюгова цепочка до виконання коду
За даними Anthropic, модель послідовно використала чотири окремі вразливості: пошкодження пам’яті в рушії V8, втечу з пісочниці V8, стан гонки в CacheStorage для читання пам’яті привілейованого процесу браузера та use-after-free у FedCM для виконання коду поза пісочницею. Демонстраційний експлойт, як повідомляється, запускав застосунок «Калькулятор» на Mac з Chrome за секунди після завантаження сторінки, без додаткових дій користувача. Виправлення увійшли до Chrome 156 (збірки 156.0.8078.47 для Linux, 156.0.8078.47/.48 для Windows і Mac), випущеного 20 жовтня 2026 року.
Safari: обхід same-origin policy без виконання коду
Ланцюжок для Safari принципово відрізняється: за описом Anthropic, він не виконує довільний код, а отримує повний доступ на читання й запис у пам’ять браузера та вимикає політику одного джерела (same-origin policy — правило, яке забороняє одному сайту читати дані іншого). У результаті шкідлива сторінка може читати історію, cookies і надсилати автентифіковані запити до інших сайтів. Apple, як повідомляється, виправила центральну use-after-free вразливість в iOS та iPadOS 26.5.2, вказавши «Milad Nasr and Nicholas Carlini with Claude, Anthropic» як авторів. Однак доступна сторінка оновлення Apple не містить прямого підтвердження саме цього ланцюжка.
Windows: відмова в обслуговуванні з розбіжностями в описі
Ланцюжок для Windows — з найменшим впливом: це атака типу «відмова в обслуговуванні», за якої кілька мережевих пакетів спричиняють збій машини. Anthropic описує вразливість як читання за межами буфера (out-of-bounds read) в обробці QUIC ядром Windows. Однак запис CVE-2026-33096 на Tenable описує уражений компонент як HTTP.sys — вбудований обробник веб-запитів Windows — а не QUIC-підсистему ядра. Оцінка CVSS становить 7.5 (High), ідеться про мережеву відмову в обслуговуванні, а не про віддалене виконання коду. Публічний запис CVE, за наявними даними, не вказує автора виявлення, тому атрибуція цієї вразливості Anthropic і Claude спирається лише на заяву самої компанії.
Linux: віддалене виконання коду від root
Найсерйозніший за потенційним впливом ланцюжок — для Linux. За даними Anthropic, експлойт дає змогу виконувати команди від імені root по мережі без автентифікації, за умови що цільовий сервер використовує слухач multipath TCP. Модель спочатку обходить KASLR (рандомізацію адресного простору ядра), витікаючи адресу пам’яті ядра за 48 хвилин, а потім за 5 хвилин отримує root-shell. Anthropic пов’язує цей ланцюжок з CVE-2026-98432, оціненою в 9.8 (Critical). Втім, і тут є розбіжність: запис CVE описує use-after-free в IPv4 TCP, а не в multipath TCP. Зв’язок між двома описами встановлюється лише через публікацію Anthropic.
Android: обхід екрана блокування
Anthropic також повідомляє, що модель створила експлойт для вилучення фотографій і персональних даних із заблокованого Android-пристрою. Для цієї вразливості не вдалося знайти ні CVE-ідентифікатора, ні підтверджувального бюлетеня Google.
Розбіжності та обмеження верифікації
Аналіз доступних джерел виявляє кілька суттєвих розбіжностей між заявами Anthropic і публічними записами вразливостей:
- CVE-2026-33096: Anthropic описує QUIC-компонент ядра Windows, реєстр CVE вказує HTTP.sys — це різні компоненти, й відкриті джерела не пов’язують їх між собою.
- CVE-2026-98432: Anthropic описує multipath TCP, реєстр CVE — IPv4 TCP. Зв’язок установлюється лише публікацією Anthropic.
- Заява про 62 CVE в Chrome, включно з 13 втечами з пісочниці, підтверджується тільки звітом Anthropic; примітки до Chrome 156 підтверджують атрибуцію окремих виправлень, але не всього обсягу.
- Жодна з вразливостей станом на кінець жовтня 2026 року не внесена до каталогу CISA KEV і не позначена як така, що експлуатується в реальних атаках.
Ми вже детально розбирали оновлення Chrome 156, у якому Google закрила сотні вразливостей, зокрема виявлених за допомогою інструментів ШІ.
Оцінка впливу
Якщо заяви Anthropic точні, це означає якісний зсув у можливостях автоматизованого пошуку вразливостей. Модель, здатна самостійно знаходити й комбінувати вразливості в ланцюжки експлойтів, радикально знижує поріг входу для створення складних атак — роботи, яка раніше вимагала місяців зусиль спеціалізованих команд.
Уражені продукти охоплюють практично весь спектр користувацьких платформ: Chrome і Safari — два домінуючі браузери, Windows і Linux — основні серверні та десктопні ОС, Android — мобільна платформа з мільярдами пристроїв. Найбільший ризик становить Linux-ланцюжок (CVSS 9.8, віддалене виконання коду від root), хоча він потребує специфічної конфігурації з multipath TCP.
Рекомендації
- Chrome: оновіть до версії 156.0.8078.47 або вище. Перевірте поточну версію через
chrome://version. - iOS/iPadOS: встановіть оновлення до версії 26.5.2 через «Налаштування → Основні → Оновлення ПЗ».
- Windows: застосуйте останні оновлення безпеки, що закривають CVE-2026-33096.
- Linux: оновіть ядро до версії, що містить виправлення CVE-2026-98432 (виправлено upstream 15 жовтня). Сервери з multipath TCP у пріоритеті.
- Для організацій, які використовують інструменти ШІ в дослідженнях безпеки: Anthropic пропонує доступ до Claude Opus 5.5, Sonnet 5.5 і Mythos 5.1 через Cyber Verification Program для верифікованих спеціалістів.
Публікація Anthropic фіксує важливий момент: моделі ШІ переходять від теоретичної здатності знаходити вразливості до демонстрації робочих ланцюжків експлойтів. Водночас значна частина заяв компанії й надалі підтверджена лише її власним звітом. Незалежно від рівня довіри до цих заяв, практичний висновок однозначний: усі описані вразливості вже виправлені вендорами, і пріоритетна дія — переконатися, що ваші системи оновлені до актуальних версій Chrome 156, iOS/iPadOS 26.5.2 та останніх патчів ядра Linux і Windows.
