Модель Anthropic взломала Chrome, Safari, Android, Windows и Linux

Frontier Red Team в Anthropic проверяет, на что модели способны в кибербезопасности. Новый отчёт подводит итог нескольких месяцев работы с внутренней исследовательской моделью, которую компания не выпускала и не называет. Человек давал ей стартовую постановку задачи, а сколько ручной работы понадобилось после этого, Anthropic не уточняет.

Chrome запускал программу через секунды после захода на сайт

Самая наглядная атака из отчёта Anthropic касается Chrome на macOS с настройками по умолчанию. Пользователь открывал подготовленную страницу, и через несколько секунд на компьютере запускался Калькулятор. Больше ничего делать не требовалось.

Калькулятор в таких демонстрациях служит меткой. Если сайт смог запустить на компьютере одну программу, он запустил бы и вредоносную.

Модель собрала цепочку атак, то есть связала несколько ошибок, каждая из которых по отдельности даёт мало. Главная преграда здесь песочница, изолированная среда, в которой браузер исполняет код сайта. Цепочка в Chrome устроена так:

• Движок V8 → повреждение памяти при выполнении JavaScript
• Песочница V8 → выход из неё и полный контроль над вкладкой
• CacheStorage → доступ к памяти за пределами песочницы
• FedCM → запуск кода вне песочницы через механизм входа сторонними аккаунтами

По итогам Google получила 62 уязвимости с номерами CVE, это общий реестр известных уязвимостей. Все отмечены как критические или высокой опасности. Среди них 13 способов выйти из песочницы и 21 ошибка, которая даёт контроль над отрисовкой страниц. Исправления вошли в Chrome 156.

Почта в Safari, украденный Android и упавшие серверы Windows

В Safari модель Anthropic обошлась без запуска своего кода. Скрипт любого сайта отключал правило, которое не даёт одному сайту читать данные другого. После этого открывались история, cookie и активные сессии, включая почту и банковский кабинет. Apple подтвердила получение отчёта в тот же день и быстро выпустила исправление.

На Android атака работала против украденного заблокированного телефона. Модель вытаскивала с него фотографии и личные данные через USB и протокол переноса данных между устройствами. По пути она обходила проверку шестизначного кода сопряжения. Атаку проверили на Google Pixel 9, и Google её уже закрыла.

В Windows нашлась ошибка в реализации протокола QUIC в ядре системы. На нём работает HTTP/3, новая версия протокола, по которому браузеры получают сайты. Несколько пакетов перезагружали сервер, а повторная отправка не давала ему подняться. По оценке Anthropic, таких серверов в интернете может быть несколько миллионов. Microsoft уязвимость исправила, ей присвоен номер CVE-2026-33096.

Root-доступ к серверу Linux за 53 минуты

Самая опасная находка Anthropic касается серверов Linux с включённым Multipath TCP. Это расширение протокола TCP, которое позволяет держать одно соединение сразу по нескольким сетям. Удалённый атакующий мог выполнять команды с правами администратора, то есть root, без пароля и без участия пользователя.

Демонстрационной атаке понадобилось 48 минут, чтобы обойти защиту памяти ядра. Ещё около пяти минут ушло на выполнение команды. Неудачная попытка не роняла систему, поэтому её можно было повторять сколько угодно. Исправление уже вошло в основную ветку ядра и во все поддерживаемые стабильные версии.

Кроме пяти цепочек, модель нашла способы повысить права в OpenBSD, FreeBSD и Linux, несколько выходов из песочниц и множество ошибок в веб-приложениях. Всё это тоже исправлено.

Параллельные агенты-сканеры и 90 дней на исправление

Anthropic искала уязвимости сразу множеством агентов-сканеров. Каждого оценивали по числу уникальных находок, которых не было у других. Одни агенты прочёсывали код подряд, другие работали под конкретную цель или сценарий атаки. Каждую подтверждённую ошибку система проверяла на похожие варианты и оценивала по уровню риска.

Раскрытие шло по стандартной схеме Anthropic:

• Отчёт производителю → после подтверждения находки
• 90 дней → срок на исправление
• Ещё 45 дней → затем публикация подробностей сверх официального бюллетеня

Свои правила проверки кода Anthropic выложила открытым плагином для Claude Code. Он ищет уязвимости ещё на этапе, когда разработчик предлагает изменение в проект.

Обновить устройства и проверять свой код

Все пять дыр закрыты только на обновлённых устройствах. Проверьте, что Chrome обновился до версии 156, и поставьте свежие обновления на iPhone, Mac, Android и Windows. Владельцам серверов на Linux стоит обновить ядро, особенно если включён Multipath TCP. Разработчикам Anthropic советует сканировать свой код раньше, чем это сделает кто-то другой.

Сильнейшие модели Anthropic остаются у проверенных защитников

Вместе с отчётом Anthropic расширила программу Cyber Verification Program. Проверенные специалисты по безопасности получают через неё Claude Opus 5.5, Claude Sonnet 5.5 и Claude Mythos 5.1 с ослабленными фильтрами.

Публикация вышла через день после подачи заявки Anthropic на IPO, и подтекст у неё прозрачный. Компания показывает, что модели уже находят и связывают уязвимости почти без участия человека. Отсюда её довод держать самые сильные из них закрытыми и выдавать только тем, кто защищается. Насколько велика доля работы людей в этих пяти атаках, отчёт так и не раскрывает, и это главный вопрос к нему.