Anthropics interne modell skrev fem exploit-kjeder: 62 Chrome-CVE-er og root på Linux via MPTCP

Anthropic publiserte 27. oktober detaljer om fem angrepskjeder som selskapets uutgitte interne forskningsmodell fant og utnyttet de siste månedene. Mot Chrome har Google tildelt 62 CVE-er, rettet i Chrome 156 og alle vurdert som kritiske eller høye. Blant dem er 13 sandbox-escapes og 21 feil som kunne kompromittert renderer-prosessen. Proof of concept-en åpner Kalkulator i en standard Chrome på macOS sekunder etter at siden er lastet, uten flere klikk.

Safari-kjeden er et rent data-angrep. En use-after-free i JavaScriptCore, en vei ut av Gigacage og en IPC-feil i WebContent-sandkassen lot en vilkårlig nettside slå av same-origin policy og lese historikk, cookies og innlogget e-post. Apple bekreftet rapporten samme dag. På Android hentet modellen bilder ut av en låst Google Pixel 9 over USB ved å lenke tre feil, blant annet en som hoppet over verifiseringen av den sekssifrede paringskoden. Google har rettet feilen.

De to siste kjedene rammer servere. CVE-2026-33096 er en out-of-bounds read i Windows-kjernens QUIC-implementasjon som lar en angriper krasje enhver Windows-maskin som svarer på HTTP/3, med noen få pakker. NVD publiserte den 14. april med CVSS 7,5, og Anthropic anslår at flere millioner slike servere lytter på internett. Linux-feilen er verst: en race condition gir use-after-free i nettverksstakken, og en angriper kan kjøre kommandoer som root på servere med en multipath TCP-lytter, uten passord eller brukerinteraksjon. Et tapt race river bare ned handshaken, så angriperen kan prøve til det lykkes. I Anthropics test tok det 48 minutter å lekke en kjernepeker og fem minutter til å nå root. CVE-2026-98432 har CVSS 9,8 i NVD og er backportet til alle vedlikeholdte stabile kjernegrener.

Å finne flere feil og lenke dem til en fungerende exploit har vært arbeid for noen få spesialistteam. Anthropic mener det har endret seg:

«Nå er det noe modeller kan gjøre med lite menneskelig involvering, og deretter bevise ved å produsere en fungerende exploit som hvem som helst kan kjøre og verifisere.» — Anthropic, i forskningsposten

Metoden er skala. Anthropic kjører mange skanneagenter parallelt, måler hver skanner etter hvor mange nye sårbarheter den bidrar med, og kjører automatisk variantanalyse på hvert bekreftet funn. Windows-feilen kom fra binæranalyse: modellen fikk den kjørbare fila, reverserte den med Ghidra, skrev et annotert C-program som gjenskaper funksjonaliteten og lette etter feil i det.

Anthropics råd er å skanne egen kode, og å gjøre det allerede når en PR åpnes. Til det har selskapet gitt ut security-guidance, en plugin til Claude Code som krever versjon 2.1.144 eller nyere og Python 3.8+. Den har tre lag: regex-advarsler for rundt 25 kjente farlige mønstre ved hver Edit/Write, en LLM-gjennomgang av diffen når Claude avslutter en tur, og en agentisk gjennomgang ved git commit som følger dataflyten på tvers av filer.

«Fanger sårbarheter på tvers av filer som mønstergjenkjenning overser (IDOR, auth bypass, cross-file SSRF).» — README for security-guidance i claude-plugins-official

Hva bør du gjøre?

1. Oppdater Chrome til versjon 156 eller nyere, og installer siste Safari- og Android-oppdateringer.
2. Sjekk at Linux-serverne dine kjører en kjerne med rettingen for CVE-2026-98432, særlig maskiner med multipath TCP-lyttere, og at Windows-servere som svarer på HTTP/3 har rettingen for CVE-2026-33096.
3. Bruker du Claude Code, installer pluginen med /plugin install security-guidance@claude-plugins-official og la commit-gjennomgangen kjøre på egne repoer.