Команда Anthropic рассказала, как с помощью Claude удалось обнаружить критические уязвимости в популярных браузерах и операционных системах. Причём дело не ограничилось поиском отдельных ошибок: модель смогла объединить их в рабочие цепочки атак, позволяющие выполнять произвольный код, обходить защитные механизмы и получать доступ к конфиденциальным данным.
Исследователи описали пять таких сценариев. Для работы использовалась внутренняя исследовательская модель Claude, которая пока не доступна публично. По словам Anthropic, после первоначальной постановки задачи модель самостоятельно находила уязвимости и разрабатывала эксплойты.
Chrome: выход из песочницы и выполнение произвольного кода
Один из наиболее показательных примеров — атака на Google Chrome. Claude обнаружил несколько уязвимостей и объединил их в цепочку, позволяющую выполнить произвольный код с правами пользователя за пределами песочницы браузера.
Атака состояла из нескольких этапов:
-
Повреждение памяти V8. Claude нашёл уязвимость в JavaScript-движке Chrome, через которую вредоносная веб-страница могла повредить данные в куче.
-
Обход защиты памяти. Вторая уязвимость позволяла выйти за пределы изолированной области памяти V8 и обойти ASLR — механизм рандомизации адресного пространства. После этого атакующий получал контроль над процессом отрисовки страниц.
-
Выход за пределы ограничений процесса. Claude обнаружил состояние гонки в CacheStorage, которое позволяло читать память за пределами песочницы и определять расположение данных привилегированного процесса браузера.
-
Обход песочницы Chrome. Ошибка использования памяти после освобождения (use-after-free) в FedCM, механизме федеративной авторизации, позволяла выполнить код уже вне изолированной среды.
В демонстрации исследователей обычная установка Chrome с настройками по умолчанию на macOS запускала приложение «Калькулятор» через несколько секунд после загрузки вредоносной страницы. Дополнительных действий пользователя не требовалось.
Всего Anthropic сообщила Google о 62 уязвимостях, которым присвоили идентификаторы CVE. Все они получили высокий или критический уровень опасности и были исправлены к версии Chrome 156.
Среди найденных проблем — 13 уязвимостей, позволяющих обойти песочницу, и 21 уязвимость, потенциально пригодная для захвата процесса отрисовки страниц.
Safari: доступ к данным других сайтов без выполнения произвольного кода
В Safari Claude удалось обойти политику одного источника (Same-Origin Policy, SOP). Этот механизм не позволяет JavaScript-коду с одного сайта свободно обращаться к данным другого.
В результате вредоносная страница могла получать доступ к истории браузера, cookie и другим конфиденциальным данным. Кроме того, атакующий получал возможность отправлять HTTP-запросы от имени авторизованного пользователя и читать ответы.
Например, при активной сессии в почтовом сервисе это позволяло получить доступ к письмам. Аналогичным образом можно было обращаться к данным банковского сайта.
Для реализации атаки Claude использовал несколько особенностей и уязвимостей Safari:
-
Ошибку use-after-free в JavaScriptCore, позволявшую изменять метаданные TypedArray.
-
Возможность обойти ограничения Gigacage — механизма изоляции памяти в WebKit.
-
Уязвимость в механизме межпроцессного взаимодействия (IPC), открывавшую доступ к сохранённым данным браузера.
-
Возможность изменить значение в памяти и фактически отключить проверку SOP.
Интересно, что эта атака вообще не требовала выполнения произвольного кода. Вместо этого эксплойт использовал доступ к памяти браузерного процесса для изменения нескольких значений, отвечающих за безопасность.
Причём некоторые особенности, задействованные в цепочке, сами по себе не считались уязвимостями. Опасными они становились именно в сочетании друг с другом.
Apple подтвердила получение отчёта и выпустила исправление.
Android: извлечение данных с заблокированного смартфона
Ещё один сценарий касался физического доступа к заблокированному Android-смартфону. Исследователи показали, что Claude способен найти способ извлечь фотографии и другие личные данные, не зная код разблокировки устройства.
Для поиска уязвимостей модель анализировала открытый исходный код Android, исследовала исполняемые файлы Google Play services с помощью обратной разработки и проверяла результаты на реальном Google Pixel 9.
В итоге Claude объединил три обнаруженные уязвимости в одну цепочку.
Атака позволяла обойти ограничения передачи данных по USB, пропустить проверку авторизации при сопряжении устройств и продолжить соединение без подтверждения шестизначного кода пользователем.
Последний этап был связан с обходом запрета на передачу содержимого файлов. Модель нашла резервный механизм обмена данными, через который можно было получить их содержимое.
Таким образом, заблокированный смартфон мог передавать личные данные через USB без участия владельца. Для такого сценария атакующему требовался физический доступ к устройству.
Google уже устранила обнаруженную проблему.
Windows: удалённый отказ в обслуживании через HTTP/3
В Windows Claude обнаружил уязвимость CVE-2026-33096, связанную с обработкой протокола QUIC в ядре операционной системы.
Ошибка заключалась в чтении памяти за пределами выделенной области. Она позволяла удалённому атакующему вызвать сбой и перезапуск системы, отправив специально сформированные сетевые пакеты.
Повторяя запросы, атакующий мог постоянно выводить сервер из строя, делая его недоступным для пользователей.
Уязвимость затрагивала системы Windows, обрабатывающие запросы HTTP/3 с использованием штатной реализации протокола. По оценке Anthropic, в интернете могут работать несколько миллионов таких серверов.
В этом случае модель не анализировала исходный код. Исследователи передали ей исполняемый файл Windows и предложили восстановить логику его работы с помощью инструментов обратной разработки, включая Ghidra.
Claude создал модель поведения исследуемого компонента на C, сопоставил её с оригинальным исполняемым файлом и затем приступил к поиску ошибок. Когда исследователи попросили проверить более опасные сценарии, модель обнаружила возможность удалённого отказа в обслуживании.
Microsoft получила отчёт и исправила уязвимость.
Linux: удалённое выполнение команд с правами root
В ядре Linux Claude нашёл уязвимость в сетевом стеке, которая позволяла удалённо выполнять произвольные команды с правами root.
Атака затрагивала серверы, принимающие соединения по Multipath TCP (MPTCP), и не требовала учётных данных или действий со стороны пользователя.
Причиной стала ошибка use-after-free, возникавшая из-за состояния гонки.
Эксплуатация состояла из двух основных этапов. Сначала модель нашла способ обойти KASLR — механизм рандомизации адресов ядра — за счёт утечки данных из памяти. Затем использовала ту же ошибку для перехвата управления и выполнения команды с правами root.
Особенность уязвимости заключалась в том, что неудачная попытка эксплуатации не приводила к падению всей системы. Атакующий мог повторять попытки до успешного срабатывания.
В демонстрации Anthropic получение адреса из памяти ядра заняло 48 минут, а выполнение команды — ещё около пяти минут.
Уязвимость получила идентификатор CVE-2026-98432. Исправление внесли в основную ветку ядра Linux и перенесли во все поддерживаемые стабильные ветки.
Исследователи также сообщили, что с помощью Claude обнаружили ошибки повышения привилегий в OpenBSD, FreeBSD и Linux, способы обхода песочниц и уязвимости в популярных веб-приложениях.
Как Anthropic организовала поиск уязвимостей
Исследование не сводилось к одному запросу к языковой модели. Anthropic разработала систему, в которой множество агентов параллельно анализировали программный код, используя разные стратегии поиска.
Одни проверяли отдельные функции на наличие ошибок, другие искали способы получить доступ к пользовательским данным или обойти предусмотренные разработчиками ограничения безопасности.
Система отслеживала покрытие кодовой базы и оценивала, сколько новых уязвимостей обнаруживает каждый агент. Для подтверждённых находок проводился дополнительный поиск похожих ошибок.
Все обнаруженные проблемы проходили проверку и оценку уровня опасности.
По итогам экспериментов исследователи выделили два важных момента.
-
Во-первых, параллельная работа агентов с разными подходами заметно увеличивает число найденных уязвимостей.
-
Во-вторых, одного исправления уже накопившихся ошибок недостаточно. Важно выявлять новые проблемы до того, как они попадут в основную ветку проекта.
Для этого Anthropic предлагает проверять безопасность кода при рассмотрении запросов на слияние изменений. Компания также опубликовала плагин для Claude Code, который помогает учитывать требования безопасности в процессе разработки.
Что это меняет для разработчиков и специалистов по безопасности
Главный результат исследования — способность языковой модели находить отдельные уязвимости и объединять их в рабочие цепочки эксплуатации.
Раньше подобные задачи требовали глубоких знаний устройства браузеров, операционных систем и механизмов защиты памяти. Теперь существенную часть этой работы модель может выполнять после первоначальной постановки задачи.
При этом речь идёт о результатах внутренней исследовательской модели Anthropic и специально организованного процесса поиска. По опубликованным данным нельзя сделать вывод, что такие же возможности уже доступны в обычной версии Claude.
Все описанные уязвимости были переданы разработчикам соответствующих продуктов, а исправления выпущены. Anthropic использовала согласованную процедуру раскрытия информации, предусматривающую время на устранение ошибок до публикации технических подробностей.
Для разработчиков и специалистов по безопасности практический вывод довольно простой: автоматизированный поиск уязвимостей становится всё более серьёзным инструментом, а проверку кода имеет смысл проводить как можно раньше. Особенно с учётом того, что несколько относительно небольших ошибок в разных компонентах могут складываться в полноценную цепочку атаки.
Поиск уязвимостей с помощью ИИ открывает новые возможности для проверки безопасности кода, но сами инструменты — лишь часть процесса. На бесплатных вебинарах разберём, как оценить зрелость DevSecOps-практик в команде и какие инструменты использовать для безопасной разработки.
-
11 ноября в 20:00. «Как оценить зрелость DevSecOps-команды и составить карту развития». Записаться
-
16 ноября в 20:00. «Швейцарский нож РБПО: карта инструментов безопасной разработки на практике». Записаться
Больше открытых уроков смотрите в календаре.
Источник: habr.com