The Pulse
Anthropic: Claude ha concatenato exploit su cinque piattaforme
Anthropic afferma che un modello di ricerca non ancora pubblicato ha sviluppato cinque catene di exploit che interessano Chrome, Safari, Android, Windows e Linux. Secondo l’azienda, i fornitori hanno risolto le vulnerabilità. Anthropic desc
AI.info Team · Scritto con l’IA · verificato ·
«I modelli più avanzati sono in grado di scoprire e combinare più vulnerabilità in un exploit funzionante.»
Anthropic, l’azienda
Anthropic ha pubblicato questa valutazione il 27 ottobre, insieme ai dettagli di cinque catene di exploit sviluppate con un modello di ricerca interno non ancora pubblicato. Gli obiettivi erano Chrome, Safari, Android, Windows e Linux. Secondo l’azienda, le catene hanno consentito l’esecuzione di codice da remoto o prodotto altri effetti gravi, in alcuni casi con un intervento minimo o nullo da parte dell’utente.
Anthropic afferma di aver segnalato ogni vulnerabilità al fornitore interessato secondo la propria procedura di divulgazione coordinata. Nel suo post si legge che le falle sono state corrette o risolte. L’azienda non indica il nome del modello e non spiega passo per passo quanto lavoro umano sia stato necessario per ciascuna catena.
Quattro falle hanno permesso di superare la sandbox di Chrome
L’esempio relativo a Chrome concatena quattro vulnerabilità per passare da una pagina web dannosa all’esecuzione di codice all’esterno della sandbox del browser. La catena parte da una falla in V8, il motore JavaScript di Chrome, che poteva corrompere la memoria. Altri bug permettevano poi all’exploit di aggirare le protezioni della memoria di V8, accedere a informazioni sul processo del browser e infine eseguire codice oltre la sandbox.
Anthropic afferma di aver segnalato a Google 62 vulnerabilità, tutte classificate come critiche o di gravità elevata e corrette alla versione Chrome 156. Secondo l’azienda, 13 consentivano di uscire dalla sandbox e 21 avrebbero potuto essere usate per compromettere il renderer di Chrome. Nella sua dimostrazione, l’app Calcolatrice si è aperta su un Mac con un’installazione standard di Chrome nella configurazione predefinita pochi secondi dopo il caricamento di una pagina.
La catena relativa a Safari ha prodotto un risultato diverso: non ha eseguito codice arbitrario. L’exploit ha invece combinato più falle per leggere e scrivere nella memoria del browser e disattivare la politica della stessa origine, che normalmente impedisce a un sito web di accedere ai dati di un altro. Secondo Anthropic, una pagina dannosa poteva così accedere alla cronologia, ai cookie e ai dati di sessione di Safari, ed effettuare richieste autenticate verso altri domini.
Su Android era necessario avere accesso al telefono bloccato
Su Android, l’exploit richiedeva l’accesso fisico a un telefono bloccato. Il team di Anthropic ha analizzato il codice open source di Android, ha eseguito il reverse engineering dei binari dei servizi Google Play e ha testato l’attacco su un Pixel 9 fisico. La catena ottenuta aggirava le protezioni relative ai trasferimenti USB, all’associazione dei dispositivi e all’accesso ai file, consentendo a un aggressore di estrarre foto e altre informazioni personali senza sbloccare il telefono.
Anthropic afferma che Google ha risolto il problema. Il resoconto dell’azienda descrive una combinazione di debolezze in componenti open source e proprietari, anziché un unico punto d’ingresso. La distinzione è importante: l’exploit descritto funzionava aggirando diversi controlli pensati per impedire a un dispositivo collegato di trasferire file privati.
Windows poteva andare in crash; Linux poteva eseguire comandi come root
La vulnerabilità individuata in Windows aveva un impatto più circoscritto rispetto alle altre. Secondo Anthropic, il modello ha trovato una falla di sicurezza della memoria nell’implementazione di QUIC del kernel di Windows che poteva consentire a un aggressore di mandare in crash un computer da remoto con pochi pacchetti di rete e poi mantenerlo indisponibile ripetendo le richieste. La falla riguardava i computer che rispondono alle richieste HTTP/3 tramite l’implementazione nativa di Windows; Anthropic stima che diversi milioni di questi server potrebbero essere in ascolto su internet. Microsoft ha risolto la vulnerabilità, a cui è stato assegnato il codice CVE-2026-33096.
Anthropic descrive l’esempio relativo a Linux come una via per eseguire comandi arbitrari come root, senza alcun clic, sui server che eseguono un listener TCP multipath. Una condizione di competizione nello stack di rete del kernel ha prima permesso all’exploit di rivelare un indirizzo di memoria del kernel, poi di reindirizzare l’esecuzione a un payload già collocato nella memoria del kernel. Nella dimostrazione dell’azienda, ottenere l’indirizzo ha richiesto 48 minuti e arrivare all’esecuzione dei comandi altri cinque.
Anthropic non specifica il modello né il ruolo degli esseri umani
Il rapporto sostiene che i modelli siano ormai in grado di combinare vulnerabilità in exploit funzionanti, un compito che, secondo Anthropic, storicamente spettava a team di specialisti. L’azienda afferma di aver utilizzato agenti di scansione in parallelo, diverse strategie di ricerca e una procedura standardizzata di verifica e valutazione del rischio. Raccomanda di esaminare il codice durante lo sviluppo, anziché limitarsi ad affrontare le vulnerabilità già individuate.
Il post, però, non precisa quanto lavoro di formulazione dei prompt, ingegnerizzazione o debugging sia stato necessario per ciascun risultato e non indica la versione del modello. Anthropic afferma che il lavoro ha richiesto una «formulazione iniziale dei prompt» e descrive il modello come operativo con uno «scarso intervento umano»; il rapporto non consente ai lettori di confrontare il grado di autonomia delle cinque catene. I risultati concreti documentati nel post sono cinque catene segnalate, le correzioni dei fornitori e una dimostrazione su Linux che ha impiegato 53 minuti per arrivare a un comando eseguito come root.