Anthropicの未公開AIモデルがChromeやWindowsなどの脆弱性を繋ぎ合わせ実用的なエクスプロイトを作成
2026年10月31日 · 読了 1 分
Anthropicの未公開AIモデルが、Chrome、Safari、Android、Windows、およびLinuxにおけるセキュリティ上の欠陥を発見し、それらを繋ぎ合わせて実用的な概念実証エクスプロイトを作成したと、同社が最新の報告書で明らかにしました。
これらのエクスプロイトは、モデルへの指示を受けて研究室内で構築されたものであり、実際の攻撃で確認されたものではありません。Anthropicはすべての欠陥を先にベンダーへ報告したため、それらはすでに修正済みです。ある概念実証では、Chromeを搭載した標準的なMacにおいて、ページが読み込まれてから数秒以内に、追加のクリックなしで計算機アプリが起動しました。
同社のフロンティア・レッドチームは、研究投稿の中で5つのチェーンについて説明しました。特筆すべき点は、単一のバグではなく、1つのモデルが複数の独立した欠陥を発見し、それらを組み合わせて動作するエクスプロイトを構築したことです。同社によれば、これはこれまで少数の専門チームのみが可能であった能力とされています。ただし、この能力に関する主張はAnthropic自身の説明に基づいています。
Chromeのチェーンでは、モデルが4つの個別の欠陥を順に利用しました。悪意のあるページがまずJavaScriptエンジンであるV8のメモリを破損させ、次にV8のメモリサンドボックスを脱出してページレンダリング部分を制御しました。その後、CacheStorage機能のレースコンディションを利用して特権的なブラウザプロセスのレイアウトを学習し、最終的にサインイン機能であるFedCMのUse-after-freeバグを用いてサンドボックス外でコードを実行しました。AnthropicはGoogleに62件の欠陥を報告し、それらはChrome 156までに修正されました。そのうち13件はサンドボックス脱出を含む、重要または高い評価の欠陥でした。
Safariのチェーンでは、コードを実行せずにブラウザメモリへの完全な読み書きアクセスを取得し、同一生成元ポリシーを無効化することで、ユーザーの履歴やクッキーの読み取り、他サイトへの署名済みリクエストの送信を可能にしました。Appleはこのチェーンの中心となるUse-after-freeをiOSおよびiPadOS 26.5.2で修正しました。
Windowsのチェーンは、ネットワークパケットによってマシンをクラッシュさせるサービス拒否攻撃であり、コードの実行やデータの窃取は行いません。AnthropicはこれをWindowsカーネルのQUIC処理における境界外読み取りであるとしていますが、公開記録であるCVE-2026-33096では、WebリクエストハンドラのHTTP.sysに関するものとされており、評価は10点満点中7.5点です。
Linuxのチェーンは、ログインなしでネットワーク経由でルート権限のコマンドを実行できるため、影響が最も深刻です。ターゲットサーバーがマルチパスTCPリスナーを実行している必要があり、モデルはまずカーネルメモリのアドレスを漏洩させてKASLRという防御を回避し、レースコンディションバグを再利用してルートシェルを取得しました。Anthropicによれば、アドレスの漏洩に48分、シェルへの到達にさらに5分を要し、失敗してもシステムはクラッシュしないため、攻撃者は再試行が可能です。このチェーンは、10月15日に修正された評価9.8のカーネルUse-after-freeであるCVE-2026-98432に関連付けられています。