Внутренняя Claude подготовила работающие атаки на Chrome, Safari, Android, Windows и Linux: детали отчёта Anthropic

Отчёт Anthropic от 27 октября показывает, как внутренняя Claude находила уязвимости и строила готовые цепочки атак для Chrome, Safari, Android, Windows и ядра Linux. Материал помогает понять, что именно сделала модель, какие исправления уже вышли и где остаются вопросы.

Раньше нейросеть обычно помогала исследователю искать подозрительные места, а проверкой и эксплуатацией занимался человек. В новом отчёте описан иной подход: нераскрытая и невыпущенная модель Claude самостоятельно обнаружила ошибки, объединила их в цепочки и подготовила проверяемые атаки для каждой платформы.

Документ подготовила Frontier Red Team, команда Anthropic, которая до релиза тестирует опасные возможности моделей. Ниже разобраны результаты по платформам, а также пробелы, оставшиеся в самом отчёте.

Chrome запускает приложение после открытия страницы

Наиболее подробно Anthropic описывает атаку на Chrome в macOS. Достаточно открыть веб-страницу, и спустя несколько секунд на компьютере появляется запущенный «Калькулятор». В таких демонстрациях запуск калькулятора означает, что атакующий способен выполнить на устройстве другую программу.

Для этого Claude объединила четыре уязвимости. Одна повреждает память в JavaScript V8, другая выводит код из песочницы V8 и одновременно обходит рандомизацию адресов. Гонка в CacheStorage даёт возможность читать данные вне процесса вкладки, а ошибка в FedCM позволяет выполнить код уже за пределами песочницы браузера. От пользователя не требуется ничего, кроме загрузки страницы.

Google получила от Anthropic 62 уязвимости, относящиеся к Chrome. Каждой назначили CVE, все признали высокими либо критическими, включая 13 способов выйти из песочницы. К выходу Chrome 156, состоявшемуся 20 октября, исправления уже были доступны.

Safari открывает доступ к данным без выполнения команд

Для Safari модель собрала цепочку по другому сценарию. Ошибка в JavaScriptCore, обход Gigacage и уязвимость межпроцессного обмена не позволяют запускать команды на устройстве. Вместо этого они снимают ограничение, которое запрещает одному сайту читать сведения другого.

Из-за этого вредоносная страница может увидеть историю браузера, куки и данные сессий. Например, ей становится доступна почта пользователя, если тот в неё вошёл. Anthropic сообщает, что Apple подтвердила получение отчёта в тот же день и вскоре выпустила исправление. Номера CVE документ не называет.

Заблокированный Pixel 9 выдаёт данные при физическом доступе

Атака на Android предполагает доступ к заблокированному телефону, подключённому по USB. Модель использовала три уязвимости и прошла четыре защитных механизма: блокировку USB, проверку разрешения на обмен между устройствами, шестизначный код сопряжения и контроль содержимого файлов.

Так с заблокированного Pixel 9 удалось извлечь фотографии и личные сведения. Во время исследования модель изучала исходный код открытой части Android, анализировала скомпилированный код сервисов Google Play и проверяла предположения на реальном устройстве. Google закрыла проблему, но публичной записи с CVE пока нет.

Несколько пакетов перезагружают Windows-сервер

В случае Windows речь идёт не о захвате системы, а об отказе в работе. Уязвимость реализации QUIC в ядре позволяет отправить несколько сетевых пакетов и перезагрузить сервер. Если повторять отправку, машину можно удерживать в выключенном состоянии.

Атакующий при этом не запускает код и не получает данные. Ошибке присвоили CVE-2026-33096. По оценке Anthropic, ей были подвержены несколько миллионов серверов, доступных из интернета. Исправление уже выпущено.

Поиск начался с исполняемого файла Windows. Модели предложили разобрать бинарник, подготовить его воспроизведение на C с комментариями, протестировать результат и лишь затем искать уязвимости.

Удалённая атака на Linux получает root за 53 минуты

Самой серьёзной находкой Anthropic называет проблему в ядре Linux. Гонка в сетевом стеке приводит к обращению к уже освобождённой памяти. Атаку можно провести удалённо, владельцу сервера не нужно выполнять никаких действий.

Первый этап раскрывает адрес памяти ядра, обходя KASLR. На втором шаге подменяется указатель функции, после чего запускается команда с правами root. На первый этап демонстрации ушло 48 минут, ещё пять потребовались для второго.

Если гонка не удаётся, система не падает: соединение просто обрывается. Это позволяет повторять попытки. Уязвимости назначили CVE-2026-98432. Её оценка составляет 9,8 из 10, а показанная атака использует сервер, принимающий multipath TCP-соединения.

Исправление внесли в основную ветку ядра и поддерживаемые стабильные ветки. Дистрибутивы распространяют его неравномерно: Red Hat подготовил пакеты 1 ноября, тогда как Ubuntu в начале ноября всё ещё считала свои ядра уязвимыми. CloudLinux сообщила, что воспроизвести удалённый root ей не удалось. Сам эксплойт Anthropic не раскрывает.

Участие людей в цепочках не раскрыто

Каждая описанная цепочка начинается в отчёте одинаковой формулой: «после начального задания Claude написал...». При этом Anthropic не объясняет, насколько подробными были исходные задания. Из документа следует, что люди формулировали задачи, например просили разобрать бинарник Windows или проверить гипотезу на телефоне, и предоставляли среду.

Пошаговой картины, где именно вмешивался человек, в отчёте нет. The Hacker News отдельно указали, что этот вопрос остаётся главным без ответа. Ранее результатом подобной работы был перечень мест, которые исследователю ещё предстояло проверить.

Теперь модель выдаёт эксплойт, способный работать у любого, кто его запустит. Anthropic описывает уровень участия человека как «небольшой», а доказательством результата называет работающую атаку.

Ограниченный доступ сохраняет сроки исправления

Отчёт не даёт прямого объяснения, почему модель не выпускают. Она обозначена только как «невыпущенная внутренняя исследовательская модель». Однако подход Anthropic к публикации находок даёт контекст: производителю предоставляют 90 дней на исправление, затем оставляют ещё 45 дней до раскрытия деталей.

Если бы модель, собирающая такие цепочки за час, была доступна открыто, эти сроки потеряли бы смысл. Схожую осторожность проявляют и другие лаборатории. На следующий день после публикации отчёта Google представила Gemini 4 Carbon и сначала предоставляет её лишь проверенным специалистам по защите.

Перед публикацией открытых весов Kimi K3.1 Pro Moonshot исключила из обучения данные, связанные с кибератаками. Anthropic, в свою очередь, расширила Cyber Verification: проверенные специалисты по безопасности получают модели с ослабленными фильтрами для задач защиты.

Обновления закрывают большинство описанных рисков

Почти все уязвимости из отчёта уже исправлены. Основное действие для пользователя остаётся простым: устанавливать обновления без откладывания.

• Браузер. Для Chrome нужна версия 156 или выше. Путь для проверки: меню → «Справка» → «О браузере Google Chrome».
• iPhone, iPad и Mac. Установите последние системные обновления: исправление Safari уже выпущено.
• Android. Поставьте актуальные обновления безопасности и сервисов Google Play. При краже телефона считайте данные на нём скомпрометированными и поменяйте пароли.
• Серверы на Windows. Убедитесь, что исправление CVE-2026-33096 установлено.
• Серверы на Linux. Проверьте версию ядра по бюллетеню дистрибутива для CVE-2026-98432. Если исправленного пакета пока нет, временно отключите multipath TCP командой sysctl -w net.mptcp.enabled=0. Она перекрывает показанный сценарий, но не устраняет саму ошибку.

Скорость атак сокращает время на обновление

Главное изменение связано не с самим списком уязвимостей, а со скоростью их поиска. Если модель проходит за час путь, который у опытного исследователя занимал недели, промежуток между выпуском патча и появлением атаки на его основе может уменьшиться до часов. Обновления, которые прежде откладывали до выходных, становятся более срочной задачей.

Есть и обратная сторона: защитники получают те же возможности. Anthropic прямо рекомендует проверять собственный код, поскольку обнаружить проблему раньше атакующего тоже можно быстрее. Открытым остаётся вопрос, кто первым получит доступ к таким моделям и на каких условиях. Пока лаборатории придерживаются одного порядка: сначала проверенные защитники, затем остальные.