ClaudeがChrome・Safari・Linuxの脆弱性を発見、エクスプロイトまで作成

10月27日、AnthropicのFrontier Red Teamが、「未公開の内部研究モデル」（原文：「an unreleased, internal research model」）が構築した5つのエクスプロイトチェーンを公開しました。このClaudeのモデルはここ数か月、Chrome、Safari、Android、Windows、Linuxの脆弱性を探し続け、そのすべてで、ユーザー操作をほとんど、あるいはまったく必要としない深刻な攻撃にまでたどり着いています。

Claudeはどんな脆弱性を見つけたのか？

5つのケースすべてで、最初のプロンプト指示のあとはClaudeが単独でチェーン全体を書き上げたとされています。

1. Chrome：ワンクリックでリモートコード実行。 V8エンジンのバグ、V8サンドボックスからの脱出、CacheStorageの競合状態（race condition）、FedCM（Chromeのログイン機構）のuse-after-freeを組み合わせたチェーンです。デモでは、ページを読み込んでから数秒でmacOSの計算機アプリが起動します。Chrome 156までに**62件のCVEが割り当てられ修正済みで、すべて深刻度「critical」または「high」**です。
2. Safari：ワンクリックでデータ窃取。 こちらはコード実行なしです。JavaScriptCoreのuse-after-free、Gigacage分離の回避、サンドボックスのIPCの弱点を組み合わせて、ディスクから閲覧履歴、Cookie、セッションを読み出し、さらにsame-origin policyを無効化しました。Anthropicによると、Appleは同日中に報告を確認し、すぐに修正をリリースしました。
3. Android：ロック画面の回避。 コード解析、Google Play servicesのバイナリのリバースエンジニアリング、実機でのテストを組み合わせ、ロックされたGoogle Pixel 9から写真や個人データを取り出しました。Googleはすでに修正済みです。
4. Windows：リモートDoS。 WindowsカーネルのQUIC実装にある範囲外読み取り（out-of-bounds read）で、HTTP/3経由で到達できます。数個のパケットを送るだけでマシンがフリーズし、再起動します。Anthropicの推定では、こうしたサーバーはインターネット上におそらく数百万台あります。MicrosoftはCVE-2026-33096として修正しました。
5. Linux：ゼロクリックでroot取得。 最も深刻なケースです。リモートの攻撃者がmultipath TCPのリスナーを持つサーバーにパケットを送り、認証情報もユーザー操作も一切なしに、rootとして任意のコマンドを実行できます。概念実証（PoC）では、カーネルポインタのリークに48分、そこからコマンド実行までにさらに5分かかります。修正はメインラインカーネルと、保守されているすべての安定版ブランチに取り込まれました（CVE-2026-98432）。

これに加えて、OpenBSD、FreeBSD、Linuxでのローカル権限昇格、サンドボックス脱出、多数のWebアプリケーションのバグも見つかっています。

AIの文脈で何が新しいのか？

1つ目は、標的のレベルです。Chrome、Safari、Android、Windows、Linuxは世界で最も堅く守られたソフトウェアの一部で、Anthropicのチームはこれらを、脆弱性研究におけるモデルの能力を測るテストとしてはっきり位置づけています。

2つ目は、チェーンの長さです。単発のバグではなく、各ステップが保護レイヤー（サンドボックス、ASLR、メモリ分離）を1枚ずつ突破していく多段階の攻撃です。Windowsのケースでは、ClaudeはまずGhidraなどを使って実行ファイルをリバースエンジニアリングし、注釈付きのコード再構成をC言語で書き、そのうえで初めて脆弱性を探しました。

3つ目は、規模です。Anthropicは多数のスキャンエージェントが並列に動くプラットフォームを構築し、各エージェントを新たに見つけた脆弱性の数で評価しています。脆弱性が1件確認されるたびに、Claudeはコードの別の場所に似たバリエーションがないかを自動で探します。まとめにあるとおり、これはモデルが「人間の関与をほとんど必要とせずに」（原文：「with little human involvement」）こなせるようになったことです。

ご存じのとおり、その翌日にはGoogleが同じく脆弱性探索に力を入れたGemini 4 Carbonを発表し、それ以前にはBank of AmericaがClaude Mythosの見つけた問題を修正するために1000人の契約社員を投入しています。サイバーセキュリティをめぐるモデル間の競争は加速しているようです。

このモデルはいつ使えるようになるのか？

わかりません。記事にはモデル名もリリース日も書かれていません。

その代わり、今使えるものはわかっています。AnthropicはCyber Verification Programを拡大しました。審査を通ったセキュリティ専門家が、高度なサイバー機能と、ブロックの少ない分類器を利用できるプログラムです。対象はClaude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1で、発表によれば今後の新モデルも含まれます。

注意すべき点は？

1つ目は、開示のプロセスです。すべての脆弱性は協調的な脆弱性開示の枠組みでベンダーに報告されています。ベンダーには修正までに90日が与えられ、Anthropicはさらに45日待ってから、公開アドバイザリ以上の詳細を明かします。紹介したケースはすでに修正済みなので、ブラウザ、スマートフォン、カーネルをアップデートしておけば十分です。

2つ目は、自分のコードです。Anthropicは、たまった脆弱性の修正は問題の半分にすぎず、自分のコードのスキャンは「これまで以上に重要」（原文：「more important than ever」）だとはっきり書いています。プルリクエストの段階でスキャンできるよう、同社はClaude Code向けのsecurity-guidanceプラグインを公開しました。自分のエージェントを守る方法については、ガイド「AIエージェントのセキュリティ」で詳しく書いています。

3つ目は、コインの裏側です。モデルが単独でLinuxのゼロクリックroot取得を組み立てられるなら、似たツールはおそらく攻撃者の手にも渡ります。Anthropicが提供にこれほど慎重なのはそのためです。

よくある質問

Claudeが見つけた脆弱性はもう修正されていますか？

Anthropicによると、はい。Chrome（バージョン156まで）、Safari、Android、Windows（CVE-2026-33096）、Linux（CVE-2026-98432）にはすでに修正が出ています。

どのClaudeモデルがこれらの脆弱性を見つけたのですか？

未公開の内部研究モデルです。Anthropicはモデル名もリリース日も明らかにしていません。

自分のコードの脆弱性探しにClaudeを使えますか？

使えます。プルリクエストのレビューにはClaude Code向けのsecurity-guidanceプラグインがあり、セキュリティ専門家はCyber Verification Programに申し込めば、Opus 5.5、Sonnet 5.5、Mythos 5.1を制限の少ない形で利用できます。