Unveröffentlichte Anthropic-KI verkettet Lücken in Chrome, Safari, Windows und Linux

Worum es geht

Anthropic hat am 27. Oktober 2026 einen Bericht seines „Frontier Red Team“ veröffentlicht, des Teams, das die Risiken der eigenen Spitzenmodelle testet. Darin heißt es, ein internes, nicht veröffentlichtes und nicht namentlich genanntes Forschungsmodell habe über mehrere Monate in Testumgebungen kritische Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und zu funktionierenden Angriffen verkettet. Autoren sind unter anderem Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf und Luna Tong.

Wichtig: Alle Lücken wurden vorab den Herstellern gemeldet und sind laut Anthropic behoben. Laut The Hacker News (zitiert in einer der Quellen) wurden sie nicht in echten Angriffen beobachtet. Ein „Exploit“ ist ein Code, der eine Sicherheitslücke ausnutzt; „verketten“ heißt, mehrere kleine Fehler so zu kombinieren, dass sie zusammen weit mehr Schaden anrichten als einzeln.

Die fünf Angriffsketten

Chrome: Das Modell schrieb eine Kette, die auf einem normalen Chrome unter macOS allein durch das Laden einer Webseite Code außerhalb der Sandbox ausführte. Die Sandbox ist die abgeschottete Umgebung, die Browser-Inhalte vom Rest des Rechners trennt. In der Demo öffnete sich der Taschenrechner, ohne dass der Nutzer klicken musste. Genutzt wurden zwei Speicherfehler in der JavaScript-Engine V8, eine Race Condition (Fehler durch unglückliche zeitliche Abfolge paralleler Vorgänge) in CacheStorage und ein Use-after-free (Zugriff auf bereits freigegebenen Speicher) in der Komponente FedCM. Insgesamt meldete Anthropic 62 Chrome-Schwachstellen mit kritischer oder hoher Schwere; sie sind ab Chrome 156 (veröffentlicht am 20. Oktober) behoben. Google nennt in den Hinweisen laut Hacker News unter anderem „Xinyang Ge von Anthropic, mit Hilfe von Claude“.

Safari: Die Kette erlaubte dem JavaScript beliebiger Websites, Verlauf, Cookies und Sitzungsdaten zu lesen und authentifizierte Anfragen an andere Domains zu senden, ohne beliebigen Code auszuführen. Laut Anthropic waren mehrere der genutzten Schwächen eigentlich beabsichtigtes Verhalten, das erst in Kombination ausnutzbar wurde. Apple nennt in den Hinweisen zu iOS und iPadOS 26.5.2 „Milad Nasr und Nicholas Carlini mit Claude, Anthropic“ für einen Use-after-free in WebKit (CVE-2026-43715). Eine Quelle nennt die Korrektur Ende Juni.

Android: Das Modell baute einen Angriff, der aus einem gesperrten, gestohlenen Telefon Fotos und persönliche Daten auslesen konnte, über drei Schwachstellen, die USB-Datenbeschränkungen und die Kopplungsprüfung umgingen. Getestet wurde auf einem Google Pixel 9. Anthropic sagt, Google habe das behoben; The Hacker News fand dafür keinen öffentlichen Eintrag.

Windows: Gefunden wurde ein aus der Ferne auslösbarer Out-of-bounds-Read in der QUIC-Implementierung des Windows-Kernels, betroffen sind Server, die HTTP/3 mit dem nativen Stack bedienen. Wenige Pakete genügen für einen Neustart. Das ist eine Dienstverweigerung (Denial of Service), keine Codeausführung. Anthropic schätzt mehrere Millionen angreifbare Server im Internet und verweist auf CVE-2026-33096. Hacker News merkt an, dass dieser Eintrag eine Lücke in HTTP.sys beschreibt und keinen Entdecker nennt.

Linux: Der gravierendste Fall: Ein Angreifer aus der Ferne ohne Zugangsdaten konnte auf Servern mit aktivem Multipath TCP (MPTCP) Befehle als Root ausführen, also mit Vollzugriff. Im Proof of Concept dauerte das Auslesen einer Kerneladresse 48 Minuten, die anschließende Befehlsausführung rund fünf weitere. Anthropic verknüpft das mit CVE-2026-98432, behoben im Hauptzweig und in stabilen Zweigen. Der öffentliche Eintrag bewertet die Lücke mit 9,8 von 10, beschreibt aber einen Fehler im IPv4-TCP-Code und erwähnt MPTCP nicht – der Zusammenhang beruht also auf Anthropics Bericht.

Wie das System arbeitet

Anthropic beschreibt eine Plattform, die viele Analyse-Agenten parallel laufen lässt, misst, wie viele einzigartige Schwachstellen jeder beisteuert, und die Abdeckung des geprüften Codes überwacht. Jeder bestätigte Fund durchläuft eine Variantenanalyse sowie einen standardisierten Prüf- und Risikobewertungsprozess. Bei Windows erhielt das Modell die Binärdatei und sollte sie mit Werkzeugen wie Ghidra per Reverse Engineering analysieren, bevor es nach priorisierten Fehlern suchte. Das Unternehmen empfiehlt, Code bei jedem Pull Request zu prüfen, um neue Lücken zu vermeiden, und hat dafür ein Sicherheits-Plugin für Claude Code veröffentlicht.

Was der Bericht offenlässt

Anthropic sagt, jeder Angriff sei von „anfänglichen Anweisungen“ ausgegangen und bei manchen Schritten habe es menschliche Anleitung gegeben, beziffert den Anteil aber nicht. Auch Fehlalarmraten, die Gesamtzahl der gefundenen Lücken im Programm und die Zeit pro Fund fehlen. Patches und Herstellerdanksagungen sind prüfbar, der Grad der Autonomie nicht. Es galt die koordinierte Offenlegung: 90 Tage für den Hersteller zur Korrektur, danach weitere 45 Tage, bevor Details über die Hinweise hinaus veröffentlicht werden.

Einordnung

Anthropic argumentiert, Angriffe dieser Art seien bisher spezialisierten Teams vorbehalten gewesen und ließen sich nun mit wenig menschlichem Aufwand erzeugen; Verteidiger bräuchten deshalb Zugang zu leistungsfähigen Modellen, um Lücken vor Angreifern zu schließen. Dazu wurde das Cyber Verification Program erweitert, das qualifizierten Sicherheitsfachleuten fortgeschrittene Fähigkeiten mit weniger Blockaden der Klassifikatoren bietet; zudem gibt es einen freiwilligen Dienst zur Schwachstellensuche für Open-Source-Projekte. Die Befunde sind als Herstellerangaben zu lesen: Die Patches belegen echte Funde, doch ohne Angabe des Modells und des menschlichen Anteils lässt sich die Leistung nicht einordnen oder reproduzieren. Gleichzeitig zeigt der Fall das Dual-Use-Problem: Dieselbe Fähigkeit nützt Verteidigern wie Angreifern. Für Nutzer gilt wie immer: Browser, Betriebssystem und Server zeitnah aktualisieren.