Das Frontier Red Team von Anthropic hat am 27. Oktober einen Bericht veröffentlicht. Demnach hat ein unveröffentlichtes, internes Claude-Forschungsmodell Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und zu fünf praktisch lauffähigen Angriffsketten verknüpft. Alle Lücken wurden nach dem Verfahren der koordinierten Offenlegung an die Hersteller gemeldet und waren zum Zeitpunkt der Veröffentlichung des Berichts bereits behoben.
Laut Bericht gaben die Forschenden in jedem Fall nur einen ersten Prompt vor; das Aufspüren der Schwachstellen und das Schreiben des Exploit-Codes übernahm danach größtenteils das Modell. Wie das Modell heißt und ob es veröffentlicht wird, geht aus dem Bericht nicht hervor.
Die fünf Ketten und ihre Ziele
Chrome (macOS, Remote-Code-Ausführung mit einem Klick): Das Modell fand zunächst eine Heap-Korruption in der V8-Engine, durchbrach dann die V8-Speicher-Sandbox und umging die Adressraum-Randomisierung. Anschließend las es über eine Race Condition in CacheStorage den Speicher des Browserprozesses aus und führte schließlich über eine Use-after-free-Lücke in FedCM Code außerhalb der Sandbox aus. Auf einem macOS mit Standardinstallation öffnete sich wenige Sekunden nach dem Laden der Seite der Taschenrechner.
Safari (ein Klick): Die Kette beginnt mit einer Use-after-free-Lücke in JavaScriptCore, umgeht die Gigacage-Isolation und nutzt dann eine Schwachstelle in der Interprozesskommunikation der WebContent-Sandbox, um Verlauf, Cookies und Sitzungsdatenbanken auszulesen und die Same-Origin-Policy abzuschalten. Die Kette braucht keine beliebige Codeausführung: Allein durch das Lesen von Daten lassen sich Inhalte eingeloggter Postfächer oder Bankseiten auf anderen Websites abgreifen. Apple bestätigte und behob die Lücke noch am selben Tag.
Android (Sperrbildschirm-Umgehung): Das Modell kombinierte Quellcodeanalyse, Reverse Engineering der Google-Play-Dienste und Tests auf einem echten Pixel 9. Nacheinander umging es die USB-Beschränkung, die Autorisierung für die Übertragung zwischen Geräten, die sechsstellige Kopplungsprüfung und die Einschränkung bei Dateiinhalten und zog so Fotos und andere persönliche Daten aus einem gesperrten Telefon. Google erklärte, die Lücke sei behandelt.
Windows (Denial of Service aus der Ferne): In der QUIC-Implementierung des Windows-Kernels gibt es einen Out-of-bounds-Read; schon wenige aus der Ferne gesendete Pakete bringen den Rechner zum Absturz und Neustart, und wiederholtes Senden kann den Dienst dauerhaft stören. Der Bericht schätzt, dass im Internet mehrere Millionen Server betroffen sind. Die zugehörige CVE-Nummer lautet CVE-2026-33096, Microsoft hat sie behoben.
Linux (Zero-Click-Remote-Ausführung): Die Schwachstelle sitzt im Listener für Multipath TCP und ist eine durch eine Race Condition ausgelöste Use-after-free-Lücke. Ohne Zugangsdaten umgeht ein Angreifer aus der Ferne die Kernel-Adressrandomisierung, übernimmt den Kontrollfluss und führt Befehle mit Root-Rechten aus. Im Proof of Concept dauerte das Leaken eines Kernel-Zeigers rund 48 Minuten, danach erlangte man in etwa 5 Minuten Befehlsausführung. Der Patch ist im Upstream-Kernel und wurde auf alle gepflegten stabilen Kernel-Zweige zurückportiert.
Allein bei Chrome 62 CVEs
Chrome liefert die größte Zahl im Bericht. Die von Anthropic an Google gemeldeten Lücken erhielten insgesamt 62 CVEs, alle mit hohem oder kritischem Schweregrad; 13 davon sind Sandbox-Ausbrüche, 21 lassen sich zur Kontrolle des Renderer-Prozesses einsetzen. Alle sind in Chrome 156 behoben. Der Bericht erwähnt außerdem lokale Rechteausweitungen unter OpenBSD und FreeBSD sowie einzelne Sandbox-Ausbrüche und Web-Anwendungslücken, ohne sie im Einzelnen auszuführen.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(Frontier-Modelle können mehrere Schwachstellen entdecken und zu einem funktionierenden Exploit kombinieren.)
Gesamtdauer und Rechenkosten nennt der Bericht nicht; konkrete Zeitangaben gibt es nur für die Linux-Kette.
Vergleich mit früheren Red-Team-Ergebnissen
Stellt man das Ergebnis neben die öffentlichen Fälle vom Jahresanfang, liegt der Unterschied im Grad menschlicher Beteiligung. Externe Forschende hatten zuvor mit Claude Opus Angriffsketten gegen eine ältere Chromium-Version gebaut; die öffentliche Dokumentation nennt etwa eine Woche, rund 20 Stunden Anleitung durch Experten Schritt für Schritt und über tausend Anfragen. Diesmal betont der Bericht, das Modell habe nach dem ersten Prompt alles selbst erledigt, und die Ziele waren die damals aktuellsten Browser und Kernel, keine Testumgebung mit abgeschalteten Schutzmechanismen.
In derselben Woche stellte Google Gemini 4 Carbon vor, bei dem ebenfalls die Benchmark-Werte für das Finden und Verifizieren von Schwachstellen und das Schreiben von Patches im Vordergrund stehen und das zunächst nur Netzwerkverteidigern offensteht. Anthropic gibt das Forschungsmodell auch diesmal nicht frei; öffentlich verfügbare Modelle wie Mythos 5.1 werden über ein Verifizierungsprogramm für Cybersicherheit an geprüfte Sicherheitsfachleute ausgegeben.
Empfehlungen für die Verteidiger
Die Empfehlungen des Berichts sind praxisnah: Beim Scannen im großen Maßstab erhöhen mehr Rechenleistung zur Testzeit und der Einsatz verschiedenartiger Scanner die Zahl der gefundenen Schwachstellen spürbar. Neben dem Abbau bestehender Lücken sollte bereits in der Pull-Request-Phase gescannt werden, damit weniger neue Schwachstellen in die Codebasis gelangen. Anthropic hat dafür ein Claude-Code-Plugin veröffentlicht.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(Unser Rat an Verteidiger bleibt derselbe: Den eigenen Code zu scannen ist wichtiger denn je.)
Beim Offenlegungsverfahren haben die Hersteller 90 Tage für die Behebung, danach folgen weitere 45 Tage, bevor über technische Details jenseits der Sicherheitshinweise gesprochen wird. Nach diesem Ablauf beschreibt der Bericht nur die bereits behobenen Fälle; wie viele vom Modell gefundene, aber noch nicht behobene Schwachstellen es insgesamt gibt, hat Anthropic nicht veröffentlicht.
Quellen: Forschungsbericht des Frontier Red Teams von Anthropic, ITHome, CocoLoop; geprüft wurden die von den fünf Angriffsketten betroffenen Systeme, Anzahl und Einstufung der Chrome-CVEs sowie die Dauer des Linux-Proof-of-Concept.