Claude trova vulnerabilità in Chrome, Safari e Linux

Il 27 ottobre il Frontier Red Team di Anthropic ha descritto cinque catene di exploit costruite da un “modello di ricerca interno non ancora rilasciato” (in originale: “an unreleased, internal research model”). Negli ultimi mesi il modello ha cercato vulnerabilità in Chrome, Safari, Android, Windows e Linux, e in ognuno di questi sistemi è arrivato a un attacco critico con un’interazione minima dell’utente, o del tutto senza.

Quali vulnerabilità ha trovato Claude?

In tutti e cinque i casi, dopo il prompting iniziale, Claude ha scritto da solo l’intera catena:

1. Chrome: esecuzione di codice remoto con un clic. La catena unisce un bug nel motore V8, un’evasione dalla sandbox di V8, una race condition in CacheStorage e un use-after-free in FedCM (il meccanismo di login di Chrome). Nella demo, la Calcolatrice si apre su macOS pochi secondi dopo il caricamento della pagina. Fino a Chrome 156 sono state assegnate e corrette 62 CVE, tutte di gravità “critical” o “high”.
2. Safari: furto di dati con un clic. Qui niente esecuzione di codice: un use-after-free in JavaScriptCore, un aggiramento dell’isolamento Gigacage e una debolezza nell’IPC della sandbox hanno permesso di leggere dal disco cronologia, cookie e sessioni, e poi di disattivare la same-origin policy. Secondo Anthropic, Apple ha confermato la segnalazione lo stesso giorno e ha rilasciato in fretta una patch.
3. Android: aggiramento della schermata di blocco. Il modello ha estratto foto e dati personali da un Google Pixel 9 bloccato, combinando analisi del codice, reverse engineering dei binari di Google Play services e test su un telefono fisico. Google l’ha già corretto.
4. Windows: DoS remoto. Una lettura fuori dai limiti nell’implementazione QUIC del kernel di Windows, raggiungibile via HTTP/3. Bastano pochi pacchetti perché la macchina si blocchi e si riavvii. Secondo le stime di Anthropic, in rete ci sono probabilmente diversi milioni di server di questo tipo. Microsoft l’ha corretto come CVE-2026-33096.
5. Linux: root zero-click. Il caso più grave: un attaccante remoto invia pacchetti a un server con un listener multipath TCP ed esegue qualsiasi comando come root, senza credenziali e senza alcuna interazione dell’utente. Nel proof of concept, il leak di un puntatore del kernel richiede 48 minuti e per arrivare all’esecuzione del comando ne servono altri cinque. La patch è entrata nel ramo principale del kernel e in tutti i rami stabili mantenuti (CVE-2026-98432).

A questo si aggiungono escalation di privilegi locali in OpenBSD, FreeBSD e Linux, evasioni dalle sandbox e numerosi bug nelle applicazioni web.

Cosa c’è di nuovo per l’IA?

Primo, il livello dei bersagli. Chrome, Safari, Android, Windows e Linux sono tra i software meglio protetti al mondo, e il team di Anthropic li tratta apertamente come un test delle capacità dei modelli nella ricerca di vulnerabilità.

Secondo, la lunghezza delle catene. Non si tratta di bug singoli, ma di attacchi in più fasi in cui ogni passaggio supera un ulteriore livello di protezione (sandbox, ASLR, isolamento della memoria). Nel caso di Windows, Claude ha prima fatto il reverse engineering dell’eseguibile, tra l’altro con Ghidra, ha scritto in C una ricostruzione commentata del codice e solo dopo ci ha cercato le falle.

Terzo, la scala. Anthropic ha costruito una piattaforma in cui molti agenti di scansione lavorano in parallelo, e ognuno viene valutato in base a quante nuove vulnerabilità aggiunge. Per ogni falla confermata, Claude cerca automaticamente varianti simili in altri punti del codice. Come si legge nel riepilogo, è qualcosa che i modelli riescono a fare “con poco coinvolgimento umano” (in originale: “with little human involvement”).

Come sappiamo, il giorno dopo Google ha presentato Gemini 4 Carbon, anch’esso orientato alla ricerca di vulnerabilità, e prima ancora Bank of America aveva chiamato 1000 contractor per correggere quello che aveva trovato Claude Mythos. Sembra che la corsa dei modelli nella cybersicurezza stia accelerando.

Quando sarà disponibile questo modello?

Non lo sappiamo. L’articolo non riporta né il nome del modello né una data di lancio.

Sappiamo però cosa è disponibile oggi. Anthropic ha ampliato il Cyber Verification Program, con cui professionisti della sicurezza verificati ottengono accesso a funzioni cyber avanzate e a classificatori meno restrittivi. Il programma copre Claude Opus 5.5, Claude Sonnet 5.5 e Claude Mythos 5.1 e, stando all’annuncio, anche i prossimi nuovi modelli.

A cosa fare attenzione?

Primo, alla divulgazione. Tutte le vulnerabilità sono state segnalate ai produttori nell’ambito della divulgazione coordinata delle vulnerabilità: il produttore ha 90 giorni per la patch e Anthropic aspetta altri 45 giorni prima di dire più del comunicato pubblico. I casi descritti sono già stati corretti, quindi conviene semplicemente aggiornare browser, telefoni e kernel.

Secondo, al proprio codice. Anthropic scrive chiaramente che smaltire l’arretrato è solo metà del problema e che scansionare il proprio codice è “più importante che mai” (in originale: “more important than ever”). Per la scansione già in fase di pull request, l’azienda ha pubblicato il plugin security-guidance per Claude Code. Ho scritto di più su come proteggere i propri agenti nella guida sulla sicurezza degli agenti AI.

Terzo, all’altra faccia della medaglia. Se un modello riesce a mettere insieme da solo un root zero-click su Linux, strumenti simili finiranno probabilmente anche nelle mani degli attaccanti: da qui l’approccio così prudente di Anthropic nel concedere l’accesso.

FAQ

Le vulnerabilità trovate da Claude sono già state corrette?

Secondo Anthropic sì: Chrome (fino alla versione 156), Safari, Android, Windows (CVE-2026-33096) e Linux (CVE-2026-98432) hanno già le patch.

Con quale modello Claude sono state trovate queste vulnerabilità?

Con un modello di ricerca interno non ancora rilasciato. Anthropic non ne ha indicato né il nome né la data di lancio.

Posso usare Claude per cercare vulnerabilità nel mio codice?

Sì. Per la revisione delle pull request c’è il plugin security-guidance per Claude Code, e i professionisti della sicurezza possono candidarsi al Cyber Verification Program per ottenere un accesso meno limitato a Opus 5.5, Sonnet 5.5 e Mythos 5.1.