Claude wykrył luki w Chrome, Safari i systemach

Anthropic ujawnił, że niepubliczna wersja modelu Claude potrafiła wykryć poważne słabości w najpopularniejszych przeglądarkach i systemach operacyjnych, a następnie połączyć je w gotowe do użycia exploity. Część z nich nie wymagała praktycznie żadnego udziału człowieka. To kolejny sygnał, że zaawansowane modele AI przestają być jedynie narzędziem do wskazywania pojedynczych błędów — zaczynają konstruować wieloetapowe ataki.

Pięć exploitów, które przeszły od teorii do praktyki

Zespół Frontier Red Team, działający wewnątrz Anthropic, opisał w swoim wpisie pięć działających łańcuchów ataków. Każdy z nich celował w inny ekosystem, a wszystkie dotyczyły oprogramowania, z którego korzystają miliony użytkowników na całym świecie. Producentom zgłoszono problemy, zanim informacja trafiła do opinii publicznej, i wszyscy zdążyli je załatać.

Android: kradzież danych z zablokowanego telefonu

Jeden z łańcuchów pozwalał wydobyć zdjęcia i inne prywatne pliki z zablokowanego Google Pixel 9. Model połączył trzy słabości w mechanizmach transferu danych między urządzeniami oraz obsługi portu USB. Aby pokonać cztery warstwy zabezpieczeń, wystarczyło podłączenie telefonu kablem — bez odblokowywania ekranu.

Linux: zdalne przejęcie serwera bez interakcji

W przypadku systemów linuksowych Claude opracował atak typu zero-click, wymierzony w stos sieciowy jądra. Nieuwierzytelniony napastnik mógłby zdalnie uruchamiać polecenia z uprawnieniami roota, nie potrzebując żadnego działania ze strony administratora. Luka otrzymała oznaczenie CVE-2026-98432 i została naprawiona w jądrze oraz przeniesiona do wszystkich utrzymywanych gałęzi stabilnych.

Windows: powtarzalne wywoływanie awarii

Exploit dla Windowsów opierał się na błędzie odczytu poza zakresem w implementacji protokołu transportowego wykorzystywanego przez HTTP/3. Wystarczyła niewielka liczba odpowiednio spreparowanych pakietów, by doprowadzić do awarii serwera i wielokrotnie ją powtarzać, blokując dostęp użytkownikom. Microsoft wydał poprawkę.

Chrome i Safari: cztery luki w jednym łańcuchu

Najbardziej złożone scenariusze dotyczyły przeglądarek. W Chrome na macOS model zbudował łańcuch prowadzący do zdalnego wykonania kodu po jednym kliknięciu. Składał się on z czterech osobnych słabości: w silniku JavaScript, w mechanizmach ochrony pamięci, w izolacji procesów przeglądarki oraz w funkcji logowania federacyjnego. Każda z nich pozwalała ominąć inny mechanizm kontroli, a całość umożliwiła ucieczkę z piaskownicy. Jako dowód działania exploitu uruchomiono kalkulator macOS z poziomu złośliwej strony.

Anthropic zgłosił Google łącznie 62 podatności. Wszystkie otrzymały identyfikatory CVE, zostały ocenione jako wysokie lub krytyczne i naprawione w wersji Chrome 156. W Safari łańcuch pozwalał kodowi JavaScript z dowolnej witryny ominąć politykę tego samego pochodzenia, czyli zasadę blokującą jednej stronie dostęp do danych innej. W praktyce atakujący mógłby czytać historię przeglądania, pliki cookie i dane sesji, a przy zalogowanym koncie pocztowym lub bankowym — przeglądać wiadomości czy sprawdzać salda. Apple załatał problem.

„Te łańcuchy ataków pokazują zdolność modelu do tworzenia wyrafinowanych, wieloetapowych exploitów zarówno w oprogramowaniu otwartoźródłowym, jak i zamkniętym” — napisał zespół Frontier Red Team.

Od pojedynczych błędów do gotowych ataków

Jeszcze niedawno zbudowanie takiego łańcucha wymagało specjalistycznych zespołów z wiedzą dziedzinową. Dziś — jak przekonują badacze Anthropic — model potrafi tego dokonać przy minimalnym udziale człowieka, a następnie udowodnić skuteczność, dostarczając exploit, który każdy może uruchomić i zweryfikować. To jakościowa zmiana: AI nie tylko znajduje dziury, ale też łączy je w działające narzędzie.

W odpowiedzi na rosnące możliwości modeli Anthropic rozszerza dostęp do swoich najzdolniejszych systemów dla zweryfikowanych specjalistów ds. cyberbezpieczeństwa. Program Cyber Verification Program oferuje teraz trzy poziomy dostępu, dopasowane do charakteru pracy zespołów bezpieczeństwa. Obejmuje m.in. modele Claude Opus 5.5, Claude Sonnet 5.5 oraz Claude Mythos 5.1. Przesłanie firmy dla obrońców pozostaje proste: skanowanie własnego kodu jest dziś ważniejsze niż kiedykolwiek.

Entuzjazm badaczy studzi kilka zastrzeżeń

Andrew Bolster, starszy menedżer działu R&D w Black Duck, przyznaje, że wyniki Anthropic są wiarygodne tam, gdzie da się je zweryfikować — poprawki dla Chrome, WebKit, Windows i Linuksa są publiczne. Zastrzega jednak, że twierdzenia o autonomicznym odkryciu luk pochodzą wyłącznie od samej firmy. Raport nie podaje bowiem skuteczności, kosztów ani liczby roboczogodzin potrzebnych na zbudowanie jednego łańcucha — a to kluczowy kontekst dla osób zarządzających bezpieczeństwem.

Ekspert zwraca też uwagę na warunki, w jakich exploity działały. Android wymagał skradzionego telefonu i kabla USB, a luka w Linuksie — wystawionego na świat nasłuchu MPTCP. Bolster przypomina, że gdy włączone są mechanizmy takie jak ASLR, kanarki stosu i piaskownice, skuteczność modeli wyraźnie spada. Powołuje się przy tym na analizę VulnCheck, według której jedynie 1,3% podatności odkrytych przez AI potwierdzono jako wykorzystane w rzeczywistych atakach. Dostarczenie exploitu, jego niezawodność i spełnienie warunków celu pozostają na razie problemem atakującego — choć, jak przewiduje, ta luka będzie się zawężać.

Jacob Krell z Suzu Labs podziela ten umiarkowany optymizm. Jego zdaniem AI obniżyła barierę wejścia w odkrywaniu słabości i budowaniu ataków, ale między dowodem koncepcyjnym a niezawodnym atakiem w terenie wciąż istnieje dystans. „Powłoka na jednym honeypocie niewiele mówi o liczbie procesów, kompilacji czy jądrze następnego serwera” — zauważa. Znalezienie błędu stało się tanie; uruchomienie go na maszynie, której model nigdy nie widział, wciąż kosztuje. Krell ostrzega jednak, że różnica między proof of concept a szeroko wdrażalnym atakiem coraz częściej sprowadza się do czasu i dostosowania do celu, a nie do specjalistycznej wiedzy.

John Strand z Black Hills Information Security dodaje, że obrońcy popełniają błąd, zakładając, iż tego typu odkrycia zawsze wymagają najpotężniejszych modeli. Jego zdaniem lokalne systemy — choćby Mac Studio ze 128 GB pamięci czy DGX Spark — również wspierają wspomagane przez AI inżynierię wsteczną i badanie podatności. Liczy się cel, model, narzędzia i umiejętności operatora. Słabsze systemy mogą wydłużyć pracę atakującego i sprawić, że ataki będą realne głównie wobec mniejszych, słabiej audytowanych baz kodu. To jednak nie uspokaja: „Jeśli AI potrafi znaleźć luki w Windows, Androidzie, Linuksie i Chrome, co to mówi o kodzie, który dostaje ułamek tej uwagi? Pomyślcie o kamerach IP, o firmware routera w oddziale. Wszystko to jest w grze” — podsumowuje Strand.

Co to oznacza dla obrońców

Sprawa pokazuje dwie rzeczy jednocześnie. Po pierwsze, modele najwyższej klasy potrafią dziś prowadzić wieloetapowe rozumowanie o bezpieczeństwie oprogramowania — od pojedynczej słabości po kompletny, weryfikowalny atak. Po drugie, realna skuteczność takich exploitów w terenie wciąż zależy od warunków, których model nie kontroluje: konfiguracji celu, włączonych zabezpieczeń i niezawodności dostarczenia.

Dla zespołów odpowiedzialnych za bezpieczeństwo wniosek jest praktyczny: warto traktować AI jako narzędzie zarówno atakujących, jak i obrońców, i wykorzystywać je do wyprzedzającego łatania własnych systemów. Publikacja Anthropic nie zamyka debaty o tym, jak autonomiczne są współczesne modele — wręcz przeciwnie, dostarcza jej mocnego argumentu po obu stronach.