Anthropic-AI-Modell verknüpft Zero-Day-Schwachstellen zu funktionierenden Exploits

Ein nicht veröffentlichtes internes Forschungsmodell von Anthropic hat erfolgreich mehrere Sicherheitslücken über große Plattformen hinweg identifiziert und verknüpft, darunter Chrome, Safari, Android, Windows und Linux. Das Unternehmen meldete diese Erkenntnisse Ende Oktober 2026 und bestätigte, dass alle Anbieter die Schwachstellen nach Erhalt koordinierter Offenlegungsberichte inzwischen gepatcht haben.

Was passiert ist

Das Frontier Red Team von Anthropic demonstrierte, dass ein einzelnes KI-Modell separate Fehler finden und sie zu funktionierenden Proof-of-Concept-Exploits kombinieren kann – eine Aufgabe, die bisher spezialisierten menschlichen Sicherheitsteams vorbehalten war. Das Unternehmen betonte, dass diese Exploits in einer kontrollierten Laborumgebung durch Prompting erzeugt wurden und nie bei realen Angriffen beobachtet wurden. Jede Schwachstelle wurde vor der öffentlichen Offenlegung dem jeweiligen Anbieter gemeldet, um sicherzustellen, dass Patches verfügbar waren, als die Details veröffentlicht wurden.

Die auffälligste Demonstration betraf einen Chrome-Exploit auf macOS. Nachdem ein Nutzer eine bösartige Seite besucht hatte, öffnete der Exploit innerhalb von Sekunden die Rechner-App, ohne weitere Klicks oder Interaktionen zu erfordern. Diese Kette basierte auf vier unterschiedlichen Schwachstellen, die sequenziell zusammenwirkten: einer Speicherbeschädigung in der V8-JavaScript-Engine, einer Sandbox-Escape-Lücke, einem Race Condition in CacheStorage, das das Speicherlayout offenlegte, und einem Use-After-Free-Fehler in der FedCM-Anmeldenfunktion, der Codeausführung außerhalb der Browser-Sandbox ermöglichte. Google würdigte den Anthropic-Forscher Xinyang Ge, unterstützt durch Claude, für spezifische Korrekturen in Chrome 156, die 62 gemeldete Fehler behoben.

Andere Ketten zielten auf verschiedene Plattformen mit unterschiedlichen Auswirkungen ab. Ein Safari-Exploit deaktivierte die Same-Origin-Policy, wodurch eine bösartige Website Daten von anderen Websites lesen konnte, bei denen der Nutzer angemeldet war, wie etwa E-Mail- oder Banking-Portale. Apple würdigte Milad Nasr und Nicholas Carlini mit Claude für die Korrektur in iOS und iPadOS 26.5.2. Eine Android-Kette ermöglichte das Kopieren von Daten von einem gesperrten Telefon über USB, während Windows- und Linux-Ketten serverseitige Schwachstellen anvisierten. Der Windows-Fehler verursachte einen Denial-of-Service-Crash über HTTP/3-Anfragen, und der Linux-Fehler ermöglichte die Remote-Ausführung von Root-Befehlen auf Servern, die Multipath-TCP-Listener ausführen.

Wie es funktioniert

Die hier demonstrierte Kernfähigkeit besteht nicht nur darin, einen einzelnen Bug zu finden, sondern mehrere Schwachstellen mit geringerem Schweregrad oder isolierte Fehler zu einem hochwirksamen Exploit zu verketten. Im Chrome-Beispiel verließ sich das Modell nicht auf einen kritischen Fehler, sondern orchestrierte vier separate Probleme. Es begann damit, den Speicher in der JavaScript-Engine zu beschädigen, entkam dann der Sandbox, nutzte eine Race Condition, um privilegierten Speicher abzubilden, und nutzte schließlich einen Fehler in der Anmeldenfunktion aus, um vollständig auszubrechen. Diese mehrstufige Logik erfordert ein Verständnis dafür, wie verschiedene Komponenten eines komplexen Software-Stacks interagieren – ein Niveau des Schlussfolgerns, das KI-Modelle zunehmend demonstrieren.

Für den Linux-Exploit umging das Modell die Kernel Address Space Layout Randomization (KASLR), eine Abwehrmaßnahme, die Speicheradressen randomisiert, um Angreifern zu verhindern, zu wissen, wo sie zuschlagen müssen. Die KI leckte zunächst eine Kernel-Speicheradresse und nutzte dann eine Race Condition, um die Programmausführung auf vom Angreifer platzierten Code umzuleiten. Anthropic merkte an, dass dieser Prozess 48 Minuten dauerte, um die Adresse zu lecken, und fünf weitere Minuten, um eine Root-Shell zu erhalten. Da fehlgeschlagene Versuche das System jedoch nicht zum Absturz brachten, könnte ein Angreifer unbegrenzt wiederholen. Dieser Persistenzmechanismus macht den Exploit trotz des erforderlichen Zeitaufwands besonders gefährlich.

Wichtige Details

• Chrome: Der Exploit führt Code außerhalb der Sandbox auf macOS mit einem Klick aus; behoben in Chrome 156 am 20. Oktober 2026.
• Safari: Deaktiviert die Same-Origin-Policy, um Cross-Site-Daten zu lesen; behoben in iOS/iPadOS 26.5.2 am 29. Juni 2026.
• Windows: Denial-of-Service-Crash über HTTP/3-Pakete; verknüpft mit CVE-2026-33096, gepatcht im April 2026.
• Linux: Remote-Root-Ausführung über Multipath TCP; verknüpft mit CVE-2026-98432, gepatcht am 15. Oktober 2026.
• Android: Datendiebstahl von einem gesperrten Gerät über USB; Google bestätigte die Korrektur, aber es wurde kein öffentliches CVE-Record gefunden.
• Offenlegung: Alle Fehler wurden unter einer Richtlinie zur koordinierten Offenlegung mit 90 Tagen und einer Option auf Verlängerung um 45 Tage gemeldet.

Warum es wichtig ist

Für Software-Ingenieure und Security-Leads signalisiert dieser Bericht einen Wandel in der Bedrohungslandschaft. Wenn KI-Modelle Schwachstellen mit "geringem menschlichem Eingriff" verketten können, sinkt die Hürde für die Erstellung ausgefeilter Exploits erheblich. Bisher erforderte die Erstellung einer zuverlässigen Exploit-Kette tiefgreifendes, nischiges Fachwissen und wochenlanges manuelles Reverse Engineering. Nun können die anfängliche Entdeckung und die Verkettungslogik automatisiert werden, was weniger qualifizierten Akteuren ermöglichen könnte, Schwachstellen schneller zu weaponisieren, als Verteidiger sie patchen können.

Allerdings bietet dieselbe Technologie auch leistungsstarke defensive Fähigkeiten. Anthropic rahmt diese Arbeit als Vorteil für Verteidiger und hebt sein Cyber Verification Program hervor, das geprüften Fachkräften Zugang zu fortgeschrittenen Modellen wie Claude Opus 5.5 und Sonnet 5.5 gewährt. Durch die Nutzung von KI, um proaktiv Bugs zu finden und zu verketten, können Organisationen Schwachstellen in ihren eigenen Systemen identifizieren, bevor Gegner dies tun. Die zentrale Erkenntnis ist, dass KI-gestütztes Security Testing nicht mehr theoretisch ist; es produziert verifizierbare, funktionierende Exploits, die die Schwere gemeldeter Probleme validieren.

Was Sie tun können

• Aktualisieren Sie alle Browser und Betriebssysteme auf die neuesten Versionen, insbesondere Chrome 156+, iOS/iPadOS 26.5.2+ und aktuelle Linux-Kernel-Updates.
• Überprüfen Sie Serverkonfigurationen, um unnötige Dienste wie Multipath-TCP-Listener zu deaktivieren, wenn diese für Ihre Infrastruktur nicht erforderlich sind.
• Implementieren Sie strenge Content Security Policy (CSP)-Header, um die Auswirkung potenzieller Sandbox-Escapes in Webanwendungen zu mildern.
• Evaluieren Sie KI-gestützte Security-Testing-Tools für Ihre Entwicklungspipeline, um Schwachstellenketten früh im Kodierungsprozess zu identifizieren.
• Beobachten Sie Release Notes der Anbieter auf Erwähnungen im Zusammenhang mit KI-gestützten Funden, da dies auf eine höhere Anzahl entdeckter Fehler in zukünftigen Updates hinweisen könnte.
• Stellen Sie sicher, dass physische Sicherheitsprotokolle für mobile Geräte robust sind, da KI-entdeckte Exploits lokale Zugangsvektoren wie USB-Debugging ins Visier nehmen könnten.