Claude znalazł luki bezpieczeństwa w Chrome, Safari i Linuksie

27 października zespół Frontier Red Team w Anthropic opisał pięć łańcuchów exploitów, które zbudował „nieopublikowany, wewnętrzny model badawczy” (cytując „an unreleased, internal research model”). Model przez ostatnie kilka miesięcy szukał luk bezpieczeństwa w Chrome, Safari, Androidzie, Windows i Linuksie, a w każdym z tych systemów doprowadził do krytycznego ataku przy minimalnym udziale użytkownika albo zupełnie bez niego.

Jakie luki bezpieczeństwa znalazł Claude?

W każdym z pięciu przypadków czytamy, że po początkowym promptowaniu Claude sam napisał cały łańcuch:

1. Chrome: zdalne wykonanie kodu po jednym kliknięciu. Łańcuch łączy błąd w silniku V8, ucieczkę z sandboxa V8, wyścig w CacheStorage i use-after-free w FedCM (mechanizmie logowania w Chrome). W demo Kalkulator uruchamia się na macOS kilka sekund po załadowaniu strony. Do Chrome 156 przypisano i załatano 62 CVE, wszystkie o wadze „critical” lub „high”.
2. Safari: kradzież danych po jednym kliknięciu. Tu bez wykonywania kodu: use-after-free w JavaScriptCore, obejście izolacji Gigacage i słabość w IPC sandboxa pozwoliły odczytać historię, ciasteczka i sesje z dysku, a potem wyłączyć same-origin policy. Według Anthropic Apple potwierdził zgłoszenie tego samego dnia i szybko wydał poprawkę.
3. Android: obejście ekranu blokady. Model wyciągnął zdjęcia i dane osobiste z zablokowanego Google Pixel 9, łącząc analizę kodu, reverse engineering binarek Google Play services i testy na fizycznym telefonie. Google już to naprawił.
4. Windows: zdalny DoS. Błąd odczytu poza zakresem w implementacji QUIC w jądrze Windows, osiągalny przez HTTP/3. Kilka pakietów wystarcza, żeby maszyna się zawiesiła i zrestartowała. Według szacunków Anthropic takich serwerów jest w internecie prawdopodobnie kilka milionów. Microsoft załatał to jako CVE-2026-33096.
5. Linux: zero-click root. Najpoważniejszy przypadek: zdalny atakujący wysyła pakiety do serwera z listenerem multipath TCP i wykonuje dowolne polecenia jako root, bez żadnych danych logowania i bez udziału użytkownika. W proof of concept wyciek wskaźnika jądra trwa 48 minut, a dojście do wykonania polecenia kolejne pięć. Poprawka trafiła do głównej gałęzi jądra i do wszystkich utrzymywanych gałęzi stabilnych (CVE-2026-98432).

Do tego dochodzą lokalne eskalacje uprawnień w OpenBSD, FreeBSD i Linuksie, ucieczki z sandboxów oraz liczne błędy w aplikacjach webowych.

Co w tym nowego w kontekście AI?

Po pierwsze, poziom celów. Chrome, Safari, Android, Windows i Linux to jedne z najlepiej chronionych programów na świecie, a zespół Anthropic traktuje je wprost jako test możliwości modeli w badaniu podatności.

Po drugie, długość łańcuchów. To nie pojedyncze bugi, tylko kilkuetapowe ataki, w których każdy krok omija kolejną warstwę ochrony (sandbox, ASLR, izolację pamięci). W przypadku Windows Claude najpierw zrobił reverse engineering pliku wykonywalnego m.in. w Ghidrze, napisał w C opisaną rekonstrukcję kodu i dopiero w niej szukał luk.

Po trzecie, skala. Anthropic zbudował platformę, w której równolegle działa wielu agentów skanujących, a każdy jest oceniany po tym, ile nowych podatności dokłada. Do każdej potwierdzonej luki Claude automatycznie szuka podobnych wariantów w innych miejscach kodu. Jak czytamy w podsumowaniu, to coś, co modele są w stanie robić „przy niewielkim udziale człowieka” (cytując „with little human involvement”).

Jak wiemy, dzień później Google pokazał Gemini 4 Carbon, też nastawiony na szukanie luk, a wcześniej Bank of America ściągnął 1000 kontraktorów do łatania tego, co znalazł Claude Mythos. Wygląda na to, że wyścig modeli do cyberbezpieczeństwa przyspiesza.

Kiedy ten model będzie dostępny?

Tego nie wiemy. W artykule nie ma ani nazwy modelu, ani daty premiery.

Wiemy za to, co jest dostępne dziś. Anthropic rozszerzył Cyber Verification Program, w którym zweryfikowani specjaliści od bezpieczeństwa dostają dostęp do zaawansowanych funkcji cyber i mniej blokujących klasyfikatorów. Program obejmuje Claude Opus 5.5, Claude Sonnet 5.5 i Claude Mythos 5.1, a według zapowiedzi także kolejne nowe modele.

Na co zwrócić uwagę?

Po pierwsze, na ujawnianie. Wszystkie luki zgłoszono producentom w ramach skoordynowanego ujawniania podatności: producent ma 90 dni na poprawkę, a Anthropic czeka kolejne 45 dni, zanim powie więcej niż publiczny komunikat. Opisane przypadki są już załatane, więc warto po prostu zaktualizować przeglądarki, telefony i jądra.

Po drugie, na własny kod. Anthropic pisze wprost, że łatanie zaległości to tylko połowa problemu i że skanowanie własnego kodu jest „ważniejsze niż kiedykolwiek” (cytując „more important than ever”). Do skanowania na etapie pull requestów firma udostępniła plugin security-guidance do Claude Code. Szerzej o zabezpieczaniu własnych agentów pisałem w poradniku bezpieczeństwo agentów AI.

Po trzecie, na drugą stronę medalu. Skoro model sam składa zero-click root na Linuksie, to podobne narzędzia prawdopodobnie trafią też do atakujących – stąd tak ostrożne podejście Anthropic do udostępniania.

FAQ

Czy luki bezpieczeństwa znalezione przez Claude’a są już załatane?

Według Anthropic tak: Chrome do wersji 156, Safari, Android, Windows (CVE-2026-33096) i Linux (CVE-2026-98432) mają już poprawki.

Którym modelem Claude znaleziono te luki?

Nieopublikowanym, wewnętrznym modelem badawczym. Anthropic nie podał jego nazwy ani daty premiery.

Czy mogę użyć Claude’a do szukania luk we własnym kodzie?

Tak. Do przeglądu pull requestów jest plugin security-guidance do Claude Code, a specjaliści od bezpieczeństwa mogą zgłosić się do Cyber Verification Program, żeby dostać mniej ograniczony dostęp do Opus 5.5, Sonnet 5.5 i Mythos 5.1.