Anthropic заявила, что её невыпущенная внутренняя исследовательская модель нашла уязвимости в Chrome, Safari, Android, Windows и Linux, а в нескольких случаях самостоятельно объединила их в рабочие цепочки эксплойтов. Все демонстрации проводились в лаборатории: сведений об использовании этих эксплойтов в реальных атаках нет. По данным компании, уязвимости были предварительно раскрыты поставщикам и уже исправлены.
Главным результатом Anthropic называет не отдельные ошибки, а способность одной модели связать несколько уязвимостей в работоспособную цепочку. По оценке самой компании, раньше такая работа была доступна лишь небольшому числу специализированных исследовательских команд. Независимой оценки этого вывода нет.
Компания утверждает, что модели требовались начальные подсказки и незначительное участие человека. При этом Anthropic не раскрыла, какие действия оператор выполнял на каждом этапе, и не назвала модель, ограничившись формулировкой «невыпущенная внутренняя исследовательская модель». Поэтому публично проверить степень самостоятельности ИИ в каждом из сценариев нельзя.
Часть результатов косвенно подтверждают записи поставщиков. Apple и Google указывали Anthropic и Claude в благодарностях за отдельные исправления. Для Windows существует публичная запись CVE, но в ней не назван исследователь: связь находки с Anthropic подтверждается только сообщением компании.
Пять сценариев
Anthropic описала пять цепочек, различающихся условиями эксплуатации и последствиями.
Chrome. Цепочка позволяла выполнить код за пределами песочницы браузера после одного перехода на страницу либо её загрузки в стандартной версии Chrome на macOS. Исправления вошли в Chrome 156, выпущенный 20 октября. В одном лабораторном доказательстве концепции после загрузки страницы на стандартном Mac с Chrome за несколько секунд запускалось приложение «Калькулятор», без дополнительных действий пользователя.
Safari. Этот сценарий не был рассчитан на выполнение кода, но позволял вредоносному сайту читать данные с других сайтов, где пользователь уже авторизован, — например, почту или сведения банковского аккаунта. Для атаки требовался один визит на вредоносную страницу. Исправление выпущено в iOS и iPadOS 26.5.2 29 июня.
Android. Уязвимость позволяла копировать фотографии и другие данные с заблокированного похищенного телефона. Обязательное условие — физический доступ к устройству через USB. Anthropic заявила, что Google исправила проблему, однако публичных записей об этом исправлении обнаружить не удалось.
Windows. Ошибка позволяла вызвать сетевой отказ в обслуживании сервера и поддерживать его недоступность повторением запросов. Условие эксплуатации — сервер принимает HTTP/3-запросы. Уязвимость получила идентификатор CVE-2026-33096 и была исправлена в апреле 2026 года.
Linux. Наиболее серьёзный по последствиям сценарий, согласно описанию Anthropic, позволял удалённо запускать команды с правами root без аутентификации и действий пользователя. Для эксплуатации на сервере должен быть запущен многопутевой TCP-прослушиватель. Уязвимость CVE-2026-98432 была исправлена 15 октября.
Четыре ошибки для выхода из песочницы Chrome
Для выхода из изолированной среды Chrome модель последовательно использовала четыре отдельные уязвимости. Сначала вредоносная страница повреждала память в V8, JavaScript-движке браузера. Затем другая ошибка позволяла выйти за пределы песочницы памяти V8 и получить контроль над процессом Chrome, отвечающим за отображение страницы.
Далее состояние гонки в CacheStorage давало этому коду возможность читать недоступную ему память и определить структуру более привилегированного процесса браузера. На последнем этапе use-after-free в FedCM, механизме входа Chrome, позволяло выполнить код полностью вне песочницы.
Anthropic заявила, что передала Google сведения о 62 уязвимостях, получивших CVE и исправленных в Chrome 156. Все они, по данным компании, имели критический или высокий уровень серьёзности; среди них было 13 способов выхода из песочницы. В примечаниях Google к релизу для части исправлений указаны «Синьян Ге из Anthropic при содействии Claude», но такая атрибуция приведена не для всех 62 уязвимостей.
Safari: обход политики одного источника
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
В отличие от Chrome, цепочка для Safari не предназначалась для запуска кода. Она объединяла ошибки, дававшие полный доступ к чтению и записи памяти браузера, после чего изменяла одно значение для отключения политики одного источника.
Эта политика запрещает сайту читать данные другого сайта. После её обхода вредоносная страница могла читать историю браузера и cookie, а также отправлять запросы от имени пользователя на ресурсы, где тот уже авторизован.
Apple исправила лежащую в основе цепочки ошибку use-after-free в iOS и iPadOS 26.5.2. В благодарностях за исправление компания упомянула «Милада Насра и Николаса Карлини из Claude, Anthropic».
Windows: публичная CVE и ограниченный эффект
Из описанных сценариев Windows — единственный, для которого публичная документация частично позволяет независимо подтвердить наличие уязвимости. Однако она не подтверждает связь CVE с описанной Anthropic цепочкой и не называет исследователя, обнаружившего ошибку. По последствиям это одновременно наиболее узкий сценарий: речь идёт об отказе в обслуживании. Несколько сетевых пакетов вызывают сбой системы, а их повторная отправка не даёт ей восстановить работу. Выполнение кода или кражу данных сценарий не предполагает.
Anthropic характеризует проблему как чтение за границами допустимого диапазона при обработке QUIC в ядре Windows. В публичной записи CVE-2026-33096 упомянут HTTP.sys, штатный обработчик веб-запросов Windows; оценка серьёзности составляет 7,5 из 10.
Открытые источники не связывают напрямую описание Anthropic с компонентом, указанным в CVE. В самой записи не назван исследователь, обнаруживший ошибку. На конец октября уязвимость была отмечена в американской государственной базе уязвимостей как не эксплуатируемая и отсутствовала в каталоге CISA Known Exploited Vulnerabilities.
Linux: удалённый root при специфичной конфигурации
Для Linux Anthropic описала удалённое получение root-доступа без входа в систему. Атака применима, только если целевой сервер использует многопутевой TCP-прослушиватель.
Сначала эксплойт раскрывает адрес памяти ядра, обходя KASLR. Затем он повторно использует связанную с состоянием гонки уязвимость, чтобы перенаправить выполнение программы на заранее размещённый атакующим код и получить оболочку с правами root.
По данным Anthropic, в её доказательстве концепции получение адреса ядра заняло 48 минут, а выход к оболочке — ещё пять минут. Неудачная попытка не приводит к сбою системы, поэтому атакующий может повторять её.
Компания связала сценарий с CVE-2026-98432 — ошибкой use-after-free в ядре с оценкой 9,8, исправленной в исходном коде 15 октября. В открытых данных по CVE говорится об исправлении для IPv4 TCP, а не многопутевого TCP. Связь этих сведений с описанной цепочкой основана только на публикации Anthropic.
Что проверить защитникам
Anthropic заявила, что раскрывала все найденные уязвимости по процедуре координированного раскрытия. Разработчикам предоставляется 90 дней на выпуск исправления, а затем ещё 45 дней до публикации деталей, выходящих за рамки публичного уведомления.
Компания объяснила публикацию тем, что модели, по её словам, теперь способны почти без участия человека находить пути эксплуатации и подтверждать результат рабочим эксплойтом, который можно запустить и проверить. Это позиция Anthropic, а не подтверждение применения подобных цепочек злоумышленниками.
Практический вывод для российских организаций сводится прежде всего к контролю обновлений. Следует проверить развёртывание Chrome 156, актуальных обновлений Apple для iOS и iPadOS, а также апрельских обновлений Windows для CVE-2026-33096. Отдельно стоит оценить, используются ли на серверах HTTP/3 и многопутевой TCP: именно эти условия указаны для сценариев Windows и Linux. Для Linux проверку CVE-2026-98432 следует выполнять по advisory и пакетам конкретного поставщика ОС: в материале нет затронутых версий ядра, идентификатора исправляющего коммита и перечня дистрибутивных пакетов, а публичная связь этой CVE с MPTCP-цепочкой основана только на сообщении Anthropic.
Описанные демонстрации лабораторные, а заявленные уязвимости исправлены. Они не подтверждают наличие кампаний против российских организаций, но показывают заявленное Anthropic сокращение объёма ручной работы, необходимой для сборки цепочек из нескольких ошибок.