AnthropicのAIモデル、ゼロデイ脆弱性を連鎖させて実働するエクスプロイトを生成

Anthropicの内部研究用非公開モデルが、Chrome、Safari、Android、Windows、Linuxなどの主要プラットフォームにまたがる複数のセキュリティ脆弱性を特定し、それらを連鎖させることに成功しました。同社は2026年10月末にこれらの発見事項を報告し、調整済み開示レポートを受領した後、すべてのベンダーが該当する欠陥を修正したことを確認しました。

何が起きたか

Anthropicのフロンティア・レッドチームは、単一のAIモデルが個別の欠陥を発見し、それらを組み合わせて動作する概念実証エクスプロイトを作成できることを実証しました。これは従来、専門的な人間によるセキュリティチームのみが担っていたタスクです。同社は、これらのエクスプロイトが制御されたラボ環境においてプロンプトを通じて生成され、実際の攻撃では観測されていないことを強調しました。すべての脆弱性は一般公開前にそれぞれのベンダーに報告されており、詳細が公表された時点でパッチが利用可能であることが保証されています。

最も印象的なデモは、macOS上のChromeに対するエクスプロイトでした。ユーザーが悪意のあるページにアクセスすると、さらなるクリックや操作を必要とせずに、数秒以内に電卓アプリが開かれました。この連鎖は、4つの異なる脆弱性が順次機能することに依存していました。すなわち、V8 JavaScriptエンジンにおけるメモリ破損、サンドボックスからの脱出、メモリレイアウトを漏洩させるCacheStorage内の競合状態、そしてブラウザサンドボックス外でのコード実行を可能にするFedCMサインイン機能におけるuse-after-freeバグです。Googleは、Chrome 156で報告された62件の欠陥に対処する特定の修正について、Claudeの支援を受けたAnthropic研究者のXinyang Ge氏にクレジットを与えました。

他の連鎖は、影響度の異なるさまざまなプラットフォームを標的としました。Safariのエクスプロイトは同一原点ポリシー（Same-Origin Policy）を無効化し、悪意のあるサイトが、メールや銀行ポータルなど、ユーザーがログインしている他のサイトのデータを読み取れるようにしました。Appleは、iOSおよびiPadOS 26.5.2での修正に対し、Claudeの支援を受けたMilad Nasr氏とNicholas Carlini氏にクレジットを与えました。Androidの連鎖は、ロックされたスマートフォンからUSB経由でデータをコピーすることを可能にし、WindowsとLinuxの連鎖はサーバー側の脆弱性を標的としました。Windowsの欠陥はHTTP/3リクエストによるサービス拒否（DoS）クラッシュを引き起こし、Linuxの欠陥はmultipath TCPリスナーを実行しているサーバー上でのリモートrootコマンド実行を可能にしました。

仕組み

ここで実証された中核的な能力は、単一のバグを見つけることだけでなく、深刻度の低いまたは孤立した複数の欠陥を、高影響度のエクスプロイトへと連鎖させることです。Chromeの例では、モデルは一つの重大なエラーに依存するのではなく、4つの別個の問題をオーケストレーションしました。まずJavaScriptエンジン内のメモリを破損させ、次にサンドボックスから脱出し、競合状態を利用して特権メモリをマッピングし、最後にサインイン機能のバグを活用して完全に脱出しました。この多段階のロジックは、複雑なソフトウェアスタックの異なるコンポーネントがどのように相互作用するかを理解する必要があり、AIモデルがますます示している推論レベルです。

Linuxのエクスプロイトの場合、モデルはカーネルアドレス空間ランダム化（KASLR）を回避しました。KASLRは、攻撃者がどこを狙うべきかを知るのを防ぐためにメモリアドレスをランダム化する防御機構です。AIはまずカーネルメモリアドレスを漏洩させ、次に競合状態を利用してプログラムの実行フローを攻撃者が配置したコードへリダイレクトしました。Anthropicは、アドレス漏洩までに48分、rootシェル取得までにさらに5分かかったと指摘しましたが、失敗した試行がシステムをクラッシュさせないため、攻撃者は無限に再試行が可能であると述べました。この永続性メカニズムにより、時間がかかるとはいえ、このエクスプロイトは特に危険なものとなっています。

主要な詳細

• Chrome: macOS上でワンクリックによりサンドボックス外でコードを実行するエクスプロイト。2026年10月20日リリースのChrome 156で修正済み。
• Safari: クロスサイトデータの読み取りを可能にするため同一原点ポリシーを無効化。2026年6月29日リリースのiOS/iPadOS 26.5.2で修正済み。
• Windows: HTTP/3パケットによるサービス拒否クラッシュ。CVE-2026-33096に関連付けられ、2026年4月にパッチ適用済み。
• Linux: multipath TCP経由のリモートroot実行。CVE-2026-98432に関連付けられ、2026年10月15日にパッチ適用済み。
• Android: USB経由でロックされたデバイスからのデータ窃取。Googleは修正を確認したが、公開されているCVE記録は見つからなかった。
• 開示: すべての欠陥は、45日の延長オプション付きの90日間の調整済み開示ポリシーに基づいて報告されました。

なぜ重要なのか

ソフトウェアエンジニアやセキュリティリーダーにとって、この報告書は脅威ランドスケープの変化を示しています。もしAIモデルが「最小限の人間の関与」で脆弱性を連鎖させることができるなら、洗練されたエクスプロイトを作成するための障壁は大幅に低下します。以前は、信頼性の高いエクスプロイトチェーンの作成には、深くニッチな専門知識と数週間にわたる手動リバースエンジニアリングが必要でした。現在では、初期の発見と連鎖ロジックを自動化できるため、熟練度の低いアクターでも、防御側がパッチを当てるより速く脆弱性を武器化できるようになる可能性があります。

しかしながら、同じ技術は強力な防御能力も提供します。Anthropicはこの取り組みを防衛者にとっての利点として位置づけ、Claude Opus 5.5やSonnet 5.5などの高度なモデルへのアクセスを認定された専門家に対して提供するサイバー検証プログラム（Cyber Verification Program）を強調しています。AIを用いて積極的にバグを発見し連鎖させることで、組織は敵対者よりも先に自社のシステムの弱点を特定できます。重要なポイントは、AI駆動のセキュリティテストはもはや理論的なものではなく、報告された問題の深刻度を検証する、確認可能な動作するエクスプロイトを生み出しているということです。

あなたができること

• すべてのブラウザとオペレーティングシステムを最新バージョンに更新してください。特にChrome 156以上、iOS/iPadOS 26.5.2以上、および最近のLinuxカーネルアップデートを含みます。
• インフラストラクチャで必要でない場合、multipath TCPリスナーなどの不要なサービスを無効にするようサーバー設定を見直してください。
• Webアプリケーションにおける潜在的なサンドボックス脱出の影響を軽減するため、厳格なコンテンツセキュリティポリシー（CSP）ヘッダーを実装してください。
• コーディングプロセスの早期段階で脆弱性チェーンを特定するために、開発パイプライン向けにAI支援セキュリティテストツールを検討してください。
• ベンダーのリリースノートでAI支援発見に関するクレジットを監視してください。これは将来のアップデートで発見される欠陥の量が増加していることを示唆する可能性があるためです。
• AIによって発見されたエクスプロイトがUSBデバッグなどのローカルアクセスベクトルを標的とする可能性があるため、モバイルデバイスの物理的セキュリティプロトコルが堅牢であることを確認してください。