Nicht veröffentlichtes KI-Modell von Anthropic kombiniert Sicherheitslücken zu funktionierenden Exploits
31. Oktober 2026 · 2 Min. Lesezeit
Auch veröffentlicht auf 日本語, Français, Nederlands
Ein nicht veröffentlichtes KI-Modell von Anthropic hat Sicherheitslücken in Chrome, Safari, Android, Windows und Linux entdeckt und diese zu funktionierenden Proof-of-Concept-Exploits verknüpft. Das Unternehmen gab dies in seinem neuesten Bericht bekannt.
Die Exploits wurden in einem Labor nach entsprechenden Aufforderungen an das Modell erstellt und wurden in keinen realen Angriffen beobachtet. Anthropic meldete jede Lücke zuerst an den jeweiligen Anbieter, sodass alle bereits behoben wurden. Ein Proof-of-Concept öffnete innerhalb von Sekunden nach dem Laden einer Seite die Taschenrechner-App auf einem Standard-Mac mit Chrome, ohne dass weitere Klicks nötig waren.
Das Frontier Red Team von Anthropic beschrieb fünf Ketten in einem Forschungsbeitrag. Die bedeutendste Behauptung ist, dass ein Modell mehrere separate Fehler fand und sie zu einem funktionierenden Exploit kombinierte, was laut Unternehmen bisher nur wenigen Spezialistenteams möglich war. Diese Fähigkeit stützt sich auf die eigenen Angaben von Anthropic.
In der Chrome-Kette nutzte das Modell vier separate Fehler nacheinander. Eine bösartige Seite korrumpierte zuerst den Speicher in V8, der JavaScript-Engine von Chrome. Ein zweiter Fehler entwich der Speicher-Sandbox von V8 und übernahm die Kontrolle über den Teil von Chrome, der die Seite rendert. Eine Race-Condition in einer Funktion namens CacheStorage ermöglichte es diesem Code, Speicher zu lesen, der nicht erreichbar sein sollte, und das Layout des privilegierten Browser-Prozesses zu erfahren. Ein finaler Use-after-Free-Fehler in FedCM, der Anmeldefunktion von Chrome, ließ den Exploit Code vollständig außerhalb der Sandbox ausführen. Anthropic gibt an, 62 Fehler an Google gemeldet zu haben, die bis Chrome 156 mit CVEs versehen und behoben wurden, darunter 13 Sandbox-Escapes, die alle als kritisch oder hoch eingestuft wurden.
Die Safari-Kette führt keinen Code aus, sondern verknüpft Fehler, um vollen Lese- und Schreibzugriff auf den Speicher des Browsers zu erhalten. Dadurch wird ein Wert geändert, um die Same-Origin-Policy zu deaktivieren, welche verhindert, dass eine Webseite Daten einer anderen liest. Eine bösartige Seite kann so den Verlauf und Cookies eines Nutzers lesen und signierte Anfragen an andere Seiten senden. Apple behob den zentralen Use-after-Free-Fehler in iOS und iPadOS 26.5.2.
Die Windows-Kette ist ein Denial-of-Service-Angriff, bei dem einige Netzwerkpakete die Maschine zum Absturz bringen. Anthropic beschreibt den Fehler als Out-of-bounds-Read in der QUIC-Verarbeitung des Windows-Kernels. Der öffentliche Datensatz für den Fehler CVE-2026-33096 nennt stattdessen HTTP.sys, den integrierten Web-Anfrage-Handler von Windows, und bewertet ihn mit 7,5 von 10.
Die Linux-Kette ermöglicht das Ausführen von Befehlen als Root über das Netzwerk ohne Anmeldung, sofern der Zielserver einen Multipath-TCP-Listener betreibt. Das Modell leckt zuerst eine Kernel-Speicheradresse, um eine Verteidigung namens KASLR zu umgehen, und nutzt dann denselben Race-Condition-Fehler, um das Programm zu Code umzuleiten, den der Angreifer bereits platziert hat. Anthropic verknüpft diese Kette mit CVE-2026-98432, einem Kernel-Use-after-Free mit einer Bewertung von 9,8, der am 15. Oktober behoben wurde.