La Frontier Red Team d'Anthropic a publié le 27 octobre un rapport selon lequel un modèle de recherche Claude interne, non encore dévoilé, a trouvé des vulnérabilités dans Chrome, Safari, Android, Windows et Linux, puis les a enchaînées en cinq chaînes d'attaque exécutables en pratique. Toutes les failles ont été signalées aux éditeurs selon le processus de divulgation coordonnée et étaient déjà corrigées lors de la publication du rapport.
Selon le rapport, dans chaque cas les chercheurs n'ont fourni que l'invite initiale ; l'essentiel du travail de localisation des failles et d'écriture du code d'exploitation a ensuite été réalisé par le modèle. Le rapport ne dit ni comment ce modèle s'appelle ni s'il sera diffusé.
Ce que vise chacune des cinq chaînes
Chrome (macOS, exécution à distance en un clic) : le modèle a d'abord trouvé une corruption de tas dans le moteur V8, puis franchi le bac à sable mémoire de V8 et contourné la randomisation de l'espace d'adressage. Il a ensuite exploité une situation de concurrence dans CacheStorage pour lire la mémoire du processus du navigateur, avant de tirer parti d'une faille d'utilisation après libération dans FedCM pour exécuter du code hors du bac à sable. Sur un macOS en installation par défaut, quelques secondes après le chargement de la page, la Calculatrice s'est ouverte.
Safari (un clic) : la chaîne part d'une faille d'utilisation après libération dans JavaScriptCore, contourne l'isolation Gigacage, puis exploite une vulnérabilité de communication inter-processus du bac à sable WebContent pour lire l'historique, les cookies et les bases de données de session, et désactiver la politique de même origine. Cette chaîne n'exige pas d'exécution de code arbitraire : par la seule lecture de données, on peut obtenir le contenu de messageries ou de pages bancaires où l'utilisateur est connecté sur d'autres sites. Apple l'a confirmée et corrigée le jour même.
Android (contournement de l'écran de verrouillage) : le modèle a combiné analyse du code source, rétro-ingénierie des services Google Play et tests sur un vrai Pixel 9. Il a contourné successivement la restriction USB, l'autorisation de transfert entre appareils, la vérification d'appairage à six chiffres et la limitation sur le contenu des fichiers, pour extraire des photos et d'autres données personnelles d'un téléphone verrouillé. Google indique avoir traité le problème.
Windows (déni de service à distance) : l'implémentation de QUIC dans le noyau Windows comporte une lecture hors limites ; l'envoi à distance de quelques paquets suffit à faire planter et redémarrer la machine, et des envois répétés peuvent interrompre le service en continu. Le rapport estime à plusieurs millions le nombre de serveurs concernés sur Internet. Le CVE correspondant est CVE-2026-33096, et Microsoft l'a corrigé.
Linux (exécution à distance sans clic) : la vulnérabilité se trouve dans l'écouteur MPTCP (TCP multivoie) ; il s'agit d'une utilisation après libération provoquée par une situation de concurrence. Sans identifiants, l'attaquant contourne à distance la randomisation des adresses du noyau, détourne le flux de contrôle et exécute des commandes avec les privilèges root. Dans la preuve de concept, la fuite d'un pointeur du noyau a pris environ 48 minutes, puis environ 5 minutes ont suffi pour obtenir l'exécution de commandes. Le correctif est intégré en amont et rétroporté sur toutes les branches stables du noyau encore maintenues.
62 CVE pour Chrome seul
Chrome est le poste qui concentre le plus de chiffres dans le rapport. Les failles qu'Anthropic a signalées à Google ont reçu au total 62 CVE, tous de gravité élevée ou critique ; 13 sont des évasions de bac à sable et 21 permettent de prendre le contrôle du processus de rendu. Tous ont été corrigés dans Chrome 156. Le rapport mentionne aussi des failles d'élévation locale de privilèges sur OpenBSD et FreeBSD, ainsi que quelques évasions de bac à sable et vulnérabilités d'applications web, sans les détailler une à une.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(Les modèles de frontière sont capables de découvrir plusieurs vulnérabilités et de les combiner en un exploit fonctionnel.)
Le rapport ne donne ni la durée totale ni le coût de calcul ; seule la chaîne Linux comporte des temps précis.
Comparaison avec les résultats antérieurs des équipes rouges
Rapproché des cas publics du début de l'année, ce résultat se distingue par le degré d'intervention humaine. Des chercheurs externes avaient auparavant utilisé Claude Opus pour bâtir des chaînes d'attaque contre une ancienne version de Chromium ; les documents publics font état d'environ une semaine, d'une vingtaine d'heures d'accompagnement pas à pas par des experts et de plus d'un millier de requêtes. Cette fois, le rapport souligne que le modèle a tout mené à bien après l'invite initiale, et que les cibles étaient les navigateurs et noyaux les plus récents du moment, et non un environnement de test aux protections désactivées.
La même semaine, Gemini 4 Carbon, lancé par Google, a lui aussi mis en avant ses scores de référence en recherche et vérification de vulnérabilités et en rédaction de correctifs, avec un accès réservé dans un premier temps aux défenseurs des réseaux. Anthropic n'ouvre pas non plus ce modèle de recherche ; les modèles accessibles au public, comme Mythos 5.1, sont proposés via un programme de vérification en cybersécurité aux professionnels de la sécurité ayant passé l'examen.
Conseils aux défenseurs
Les recommandations du rapport sont pratiques : lors d'analyses à grande échelle, augmenter la puissance de calcul au moment du test et recourir à des scanners variés accroît nettement le nombre de vulnérabilités détectées ; outre le nettoyage du stock existant, il faut analyser dès l'étape de la pull request pour limiter l'entrée de nouvelles failles dans la base de code. Anthropic a publié pour cela un plugin Claude Code.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(Notre conseil aux défenseurs reste le même : analyser son propre code est plus important que jamais.)
Côté divulgation, les éditeurs disposent de 90 jours pour corriger, puis de 45 jours supplémentaires avant que l'on discute des détails techniques au-delà des avis de sécurité. Selon ce processus, le rapport ne décrit que ce qui est déjà corrigé ; le nombre total de failles trouvées par le modèle mais pas encore corrigées, Anthropic ne l'a pas rendu public.
Sources : rapport de recherche de la Frontier Red Team d'Anthropic, ITHome, CocoLoop ; ont été vérifiés les systèmes visés par les cinq chaînes d'attaque, le nombre et la classification des CVE de Chrome, ainsi que la durée de la preuve de concept sous Linux.