Anthropicのフロンティア・レッドチームは10月27日にレポートを公開した。それによると、未公開の社内向けClaude研究モデルがChrome、Safari、Android、Windows、Linuxで脆弱性を発見し、実際に動作する5本の攻撃チェーンにつなぎ合わせたという。すべての脆弱性は協調的開示の手順に沿ってベンダーに報告され、レポート公開時点でいずれも修正済みだ。
レポートによれば、各事例で研究者が与えたのは最初のプロンプトだけで、脆弱性の特定とエクスプロイトコードの作成という作業の大半はモデルが担った。このモデルの名称や、公開の予定があるかどうかについては、レポートでは触れられていない。
5本のチェーンはそれぞれ何を狙ったか
Chrome(macOS、1クリックでのリモート実行):モデルはまずV8エンジンのヒープ破損の脆弱性を見つけ、続いてV8のメモリサンドボックスを突破してアドレスランダム化を回避した。次にCacheStorageの競合状態を使ってブラウザープロセスのメモリを読み取り、最後にFedCMのuse-after-freeを突いてサンドボックスの外でコードを実行した。デフォルト設定のmacOSでは、ページの読み込みから数秒で電卓アプリが起動した。
Safari(1クリック):JavaScriptCoreのuse-after-freeを起点にGigacageの隔離を回避し、さらにWebContentサンドボックスのプロセス間通信の脆弱性を使って、閲覧履歴、Cookie、セッションデータベースを読み取り、同一オリジンポリシーを無効にした。このチェーンは任意コード実行を必要とせず、データの読み取りだけで、他のサイトでログイン中のメールや銀行ページの内容を取得できる。Appleは同日中に確認し、修正した。
Android(ロック画面の回避):モデルはソースコード解析、Google Play開発者サービスのリバースエンジニアリング、Pixel 9実機でのテストを組み合わせ、USB制限、端末間転送の認可、6桁のペアリング認証、ファイル内容の制限を順に突破し、ロック状態の端末から写真などの個人データを取り出した。Googleは対処済みとしている。
Windows(リモートからのサービス拒否):WindowsカーネルのQUIC実装に境界外読み取りがあり、リモートから数個のパケットを送るだけでマシンをクラッシュ・再起動させられる。繰り返し送信すればサービスを断続的に止め続けることも可能だ。レポートは、インターネット上で影響を受けるサーバーは数百万台規模と見積もっている。対応するCVE番号はCVE-2026-33096で、Microsoftは修正済みだ。
Linux(ゼロクリックのリモート実行):脆弱性はMultipath TCPのリスナーにあり、競合状態によるuse-after-freeである。攻撃者は認証情報なしで、リモートからカーネルのアドレスランダム化を回避したうえで制御フローを乗っ取り、root権限でコマンドを実行できる。概念実証では、カーネルポインターのリークに約48分、その後コマンド実行までに約5分かかった。パッチはアップストリームに取り込まれ、保守中のすべての安定版カーネルブランチにバックポートされている。
Chromeだけで62件のCVE
レポートの中で数字がもっとも大きいのがChromeだ。AnthropicがGoogleに報告した脆弱性には62件のCVEが割り当てられ、すべて重大度「高」または「重大」だった。うち13件がサンドボックス脱出、21件がレンダラープロセスの制御に使えるもので、いずれもChrome 156で修正された。レポートはこのほか、OpenBSDとFreeBSDでローカル権限昇格の脆弱性が見つかったこと、いくつかのサンドボックス脱出とWebアプリケーションの脆弱性があったことにも触れているが、個別の詳細には踏み込んでいない。
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(フロンティアモデルは、複数の脆弱性を発見し、それらを組み合わせて動作するエクスプロイトに仕上げる能力を持つ。)
総所要時間や計算コストはレポートに示されておらず、具体的な時間が書かれているのはLinuxのチェーンだけだ。
これまでのレッドチーム成果との比較
今年前半の公開事例と並べると、違いは人の介入の度合いにある。外部の研究者は以前、Claude Opusを使って旧版のChromiumに対する攻撃チェーンを作った。公開されている記録では、所要期間は約1週間、専門家が付きっきりで誘導した時間は20時間前後、リクエストは数千回に及ぶ。今回のレポートが強調しているのは「最初のプロンプトの後はモデルが完遂した」点であり、しかも対象は保護機能を切ったテスト環境ではなく、当時の最新のブラウザーとカーネルだった。
同じ週にGoogleが発表したGemini 4 Carbonも、脆弱性の発見、検証、パッチ作成のベンチマークスコアを前面に出しており、当初の提供先はネットワーク防御側に限られる。Anthropicも今回の研究モデルを公開しておらず、一般に利用できるMythos 5.1などのモデルは、審査を通過したセキュリティ実務者に向けたサイバーセキュリティ検証プログラムを通じて提供されている。
防御側への提言
レポートの提言は実務寄りだ。大規模スキャンでテスト時の計算量を増やし、多様なスキャナーを併用すると、発見できる脆弱性の数が明らかに増える。既存の脆弱性を片付けるだけでなく、プルリクエストの段階でもスキャンして、新たな脆弱性がコードベースに入り込むのを減らすべきだという。Anthropicはこのために、Claude Codeのプラグインを公開した。
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(防御側への私たちの助言は変わらない。自社のコードをスキャンすることは、これまで以上に重要だ。)
開示の手順では、ベンダーに90日の修正期間が与えられ、その後さらに45日を置いてから、アドバイザリー以外の技術的詳細を議論する。この手順に従うなら、レポートに書かれているのは修正が完了した部分だけであり、モデルが見つけたがまだ修正されていない脆弱性の総数について、Anthropicは公表していない。
参考資料:Anthropicフロンティア・レッドチームの研究レポート、ITホーム、CocoLoop。5本の攻撃チェーンの対象システム、ChromeのCVE件数と分類、Linuxの概念実証にかかった時間を確認した。