Anthropic veröffentlichte am 27. Oktober fünf Angriffsketten, die von einem internen KI-Forschungsmodell des Unternehmens erzeugt wurden. Sie zielten auf Chrome, Safari, Android, Windows und Linux ab, und die betroffenen Hersteller haben die Schwachstellen inzwischen gepatcht. Laut dem kalifornischen Unternehmen stellt Anthropic auch einige seiner Code-Analyse-Modelle Unternehmen zur Verfügung.
- Anthropic veröffentlichte am 27. Oktober fünf Angriffsketten, die ein internes KI-Forschungsmodell erzeugt hat.
- Die KI verkettete vier Schwachstellen in Chrome und konnte so die Sandbox verlassen und Code ausführen.
- Auch Windows, Linux, Android und Safari waren betroffen, und die Hersteller haben die Lücken inzwischen geschlossen.
- Anthropic stellt Unternehmen einige seiner Code-Analyse-Modelle zur Verfügung, damit sie ihren Code selbst prüfen können.
In ihrem Blogbeitrag beschreibt das Frontier Red Team unter anderem eine Demonstration für Chrome: Eine präparierte Webseite, die in einem Mac-Browser geöffnet wird, startet wenige Sekunden später den Taschenrechner. Betroffen sind fünf der weltweit am häufigsten genutzten Systeme und Programme.
Vier aufeinanderfolgende Schwachstellen in Chrome
Chrome ist mit vier Schwachstellen vom Typ „One-Click » am stärksten betroffen, also solchen, die durch einen einfachen Klick des Nutzers ausgelöst werden. Anthropic verwendet das Bild eines Bürogebäudes, dessen Türen sich nacheinander verriegeln: Die KI habe einen Schlüssel hergestellt, um die jeweils nächste zu öffnen. Ausgangspunkt ist eine präparierte Webseite, deren Code den Speicher der JavaScript-Engine V8 korrumpiert. Eine zweite Schwachstelle umgeht den internen Schutz von V8, um die Kontrolle über den Render-Prozess zu übernehmen, der für die Darstellung der Seite zuständig ist. Dieser Prozess ist in einer „Sandbox » eingeschlossen, einer Art Schutzwall, der ihn vom Rest des Computers fernhalten soll. Eine dritte Schwachstelle, die zwei gleichzeitige Operationen ausnutzt, ermöglicht das Verlassen der Sandbox, und eine vierte führt Code außerhalb dieses Rahmens aus. Um den Angriff zu validieren, startete das Frontier Red Team den Taschenrechner mit den Rechten des Benutzers. Google gab bekannt, 62 von Anthropic gemeldete Schwachstellen gepatcht zu haben, alle kritisch oder von hoher Schwere, darunter 13, die ein Verlassen der Sandbox ermöglichten, und 21, die den Render-Prozess kompromittieren konnten. Diese Patches betrafen unter anderem Chrome 156.
Windows, Linux, Android und Safari
Unter Windows handelt es sich bei der entdeckten Schwachstelle um einen Denial-of-Service-Angriff, der einen Dienst unbrauchbar macht. Von Microsoft unter der Referenz CVE-2026-33096 identifiziert, ermöglichte sie, einen HTTP/3-Server, ein neues Protokoll für die Datenübertragung im Web, aus der Ferne zum Absturz zu bringen. Anthropic schätzt die Anzahl der betroffenen Server auf mehrere Millionen.
Bei Linux handelt es sich um eine „Zero-Click »-Schwachstelle, die keine Aktion des Opfers erfordert und die es ermöglichte, Fernzugriffsrechte auf einem Server zu erlangen. Laut dem Unternehmen dauerte die Demonstration weniger als eine Stunde, und ein fehlgeschlagener Versuch lässt das System nicht abstürzen, was aufeinanderfolgende Versuche erleichtert.
Auf Android wurden drei kombinierte Schwachstellen identifiziert, allerdings nur auf einem Gerät, dem Google Pixel 9. Sie hätten es ermöglicht, Fotos von einem gesperrten Smartphone über ein USB-Kabel zu extrahieren. Die Schwachstellen umgingen die USB-Sperre, erlaubten die Übertragung und übergingen die Überprüfung des sechsstelligen Codes sowie die Kontrolle des Dateiinhalts. Schließlich war Safari von einer weiteren „One-Click »-Schwachstelle betroffen. Die KI soll Zugriff auf den Browserverlauf, Cookies und Sitzungen erhalten und authentifizierte Anfragen an andere Domains gesendet haben.
Die betroffenen Unternehmen wurden informiert und haben Patches veröffentlicht. Anthropic empfiehlt Akteuren der Digitalbranche, ihren Code zu überprüfen, insbesondere mithilfe von Analyse-Agenten, um weitere Schwachstellen zu finden. Das Unternehmen kündigte an, einige seiner für die Code-Analyse vorgesehenen Modelle, nämlich Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1, für Unternehmen zu öffnen.
