Claude findet Sicherheitslücken in Chrome, Safari und Linux

Am 27. Oktober hat das Frontier Red Team von Anthropic fünf Exploit-Ketten beschrieben, die ein „unveröffentlichtes, internes Forschungsmodell“ gebaut hat (im Original: „an unreleased, internal research model“). Das Modell hat in den letzten Monaten nach Sicherheitslücken in Chrome, Safari, Android, Windows und Linux gesucht und es in jedem dieser Systeme bis zu einem kritischen Angriff geschafft, mit minimaler Beteiligung des Nutzers oder ganz ohne.

Welche Sicherheitslücken hat Claude gefunden?

In allen fünf Fällen hat Claude nach dem anfänglichen Prompting die komplette Kette selbst geschrieben:

1. Chrome: Remote Code Execution mit einem Klick. Die Kette kombiniert einen Fehler in der V8-Engine, einen Ausbruch aus der V8-Sandbox, eine Race Condition in CacheStorage und ein Use-after-free in FedCM (dem Anmeldemechanismus von Chrome). In der Demo startet unter macOS ein paar Sekunden nach dem Laden der Seite der Rechner. Bis Chrome 156 wurden 62 CVEs vergeben und gepatcht, alle mit dem Schweregrad „critical“ oder „high“.
2. Safari: Datendiebstahl mit einem Klick. Hier ganz ohne Codeausführung: Ein Use-after-free in JavaScriptCore, eine Umgehung der Gigacage-Isolation und eine Schwachstelle im Sandbox-IPC reichten, um Verlauf, Cookies und Sessions von der Festplatte zu lesen und anschließend die Same-Origin-Policy abzuschalten. Laut Anthropic hat Apple die Meldung noch am selben Tag bestätigt und schnell einen Fix ausgeliefert.
3. Android: Umgehung des Sperrbildschirms. Das Modell hat Fotos und persönliche Daten aus einem gesperrten Google Pixel 9 geholt, indem es Codeanalyse, Reverse Engineering von Binärdateien der Google Play services und Tests auf einem echten Telefon kombiniert hat. Google hat das bereits behoben.
4. Windows: Remote-DoS. Ein Out-of-bounds-Read in der QUIC-Implementierung des Windows-Kernels, erreichbar über HTTP/3. Ein paar Pakete genügen, damit die Maschine hängt und neu startet. Nach Schätzung von Anthropic stehen wahrscheinlich mehrere Millionen solcher Server im Internet. Microsoft hat das als CVE-2026-33096 gepatcht.
5. Linux: Zero-Click-Root. Der schwerste Fall: Ein entfernter Angreifer schickt Pakete an einen Server mit Multipath-TCP-Listener und führt beliebige Befehle als root aus, ohne Zugangsdaten und ohne jede Nutzerinteraktion. Im Proof of Concept dauert das Leaken eines Kernel-Pointers 48 Minuten, bis zur Befehlsausführung vergehen weitere fünf. Der Fix ist im Mainline-Kernel und in allen gepflegten Stable-Zweigen gelandet (CVE-2026-98432).

Dazu kommen lokale Rechteausweitungen in OpenBSD, FreeBSD und Linux, Sandbox-Ausbrüche und zahlreiche Fehler in Webanwendungen.

Was ist daran neu für die KI?

Erstens die Ziele. Chrome, Safari, Android, Windows und Linux gehören zu den am besten geschützten Programmen der Welt, und das Team von Anthropic behandelt sie ausdrücklich als Test dafür, was Modelle in der Schwachstellenforschung leisten.

Zweitens die Länge der Ketten. Das sind keine einzelnen Bugs, sondern mehrstufige Angriffe, bei denen jeder Schritt eine weitere Schutzschicht umgeht (Sandbox, ASLR, Speicherisolation). Bei Windows hat Claude die ausführbare Datei zuerst per Reverse Engineering zerlegt, unter anderem mit Ghidra, dann eine kommentierte Rekonstruktion des Codes in C geschrieben und erst darin nach Lücken gesucht.

Drittens die Skalierung. Anthropic hat eine Plattform gebaut, auf der viele Scan-Agenten parallel laufen, und jeder wird danach bewertet, wie viele neue Schwachstellen er beisteuert. Zu jeder bestätigten Lücke sucht Claude automatisch nach ähnlichen Varianten an anderen Stellen im Code. Wie es in der Zusammenfassung heißt, können Modelle das „mit wenig menschlicher Beteiligung“ (im Original: „with little human involvement“).

Bekanntlich hat Google einen Tag später Gemini 4 Carbon gezeigt, das ebenfalls auf die Suche nach Lücken ausgelegt ist, und davor hat die Bank of America 1000 Contractors geholt, um zu flicken, was Claude Mythos gefunden hatte. Das Wettrennen der Modelle in der Cybersicherheit scheint Fahrt aufzunehmen.

Wann wird dieses Modell verfügbar sein?

Das wissen wir nicht. Der Artikel nennt weder den Namen des Modells noch ein Veröffentlichungsdatum.

Wir wissen aber, was heute verfügbar ist. Anthropic hat das Cyber Verification Program ausgeweitet, in dem verifizierte Sicherheitsfachleute Zugang zu fortgeschrittenen Cyber-Funktionen und weniger restriktiven Klassifikatoren bekommen. Das Programm umfasst Claude Opus 5.5, Claude Sonnet 5.5 und Claude Mythos 5.1 und laut Ankündigung auch künftige neue Modelle.

Worauf sollte man achten?

Erstens auf die Offenlegung. Alle Lücken wurden den Herstellern im Rahmen der koordinierten Offenlegung von Schwachstellen gemeldet: Der Hersteller hat 90 Tage für einen Fix, und Anthropic wartet weitere 45 Tage, bevor es mehr sagt als die öffentliche Mitteilung. Die beschriebenen Fälle sind bereits gepatcht, also lohnt es sich schlicht, Browser, Telefone und Kernel zu aktualisieren.

Zweitens auf den eigenen Code. Anthropic schreibt klar, dass das Abarbeiten des Rückstands nur die halbe Miete ist und das Scannen des eigenen Codes „wichtiger denn je“ ist (im Original: „more important than ever“). Für Scans schon in der Pull-Request-Phase hat das Unternehmen das Plugin security-guidance für Claude Code veröffentlicht. Mehr zur Absicherung eigener Agenten habe ich im Ratgeber KI-Agenten-Sicherheit geschrieben.

Drittens auf die Kehrseite der Medaille. Wenn ein Modell selbstständig einen Zero-Click-Root unter Linux zusammenbaut, landen ähnliche Werkzeuge wahrscheinlich auch bei Angreifern – daher das so vorsichtige Vorgehen von Anthropic beim Freigeben.

FAQ

Sind die von Claude gefundenen Sicherheitslücken schon gepatcht?

Laut Anthropic ja: Chrome (bis Version 156), Safari, Android, Windows (CVE-2026-33096) und Linux (CVE-2026-98432) haben bereits Fixes.

Mit welchem Claude-Modell wurden diese Lücken gefunden?

Mit einem unveröffentlichten, internen Forschungsmodell. Anthropic hat weder seinen Namen noch ein Veröffentlichungsdatum genannt.

Kann ich Claude nutzen, um Lücken in meinem eigenen Code zu finden?

Ja. Für das Review von Pull Requests gibt es das Plugin security-guidance für Claude Code, und Sicherheitsfachleute können sich für das Cyber Verification Program bewerben, um weniger eingeschränkten Zugang zu Opus 5.5, Sonnet 5.5 und Mythos 5.1 zu bekommen.