Ngày 27/10, đội đỏ Frontier của Anthropic công bố một báo cáo cho biết một mô hình nghiên cứu Claude nội bộ, chưa được công bố, đã tìm ra lỗ hổng trên Chrome, Safari, Android, Windows và Linux, rồi nối chúng thành 5 chuỗi tấn công có thể chạy thực tế. Tất cả lỗ hổng đều đã được báo cho nhà cung cấp theo quy trình tiết lộ phối hợp và đều đã được vá vào thời điểm báo cáo được đăng.
Theo báo cáo, trong mỗi trường hợp các nhà nghiên cứu chỉ đưa ra lời nhắc ban đầu; phần lớn công việc định vị lỗ hổng và viết mã khai thác sau đó do mô hình đảm nhiệm. Báo cáo không nói mô hình này tên gì và có được phát hành hay không.
Năm chuỗi, mỗi chuỗi nhắm vào đâu
Chrome (macOS, thực thi từ xa chỉ với một cú nhấp): mô hình trước hết tìm ra lỗ hổng hỏng heap trong engine V8, rồi vượt qua sandbox bộ nhớ của V8 và vô hiệu hóa ngẫu nhiên hóa không gian địa chỉ. Tiếp theo, nó dùng một lỗi race condition trong CacheStorage để đọc bộ nhớ của tiến trình trình duyệt, và cuối cùng lợi dụng lỗi use-after-free trong FedCM để thực thi mã bên ngoài sandbox. Trên macOS cài đặt mặc định, chỉ vài giây sau khi trang tải xong, ứng dụng Máy tính đã bật lên.
Safari (một cú nhấp): chuỗi bắt đầu từ lỗi use-after-free trong JavaScriptCore, vượt qua cơ chế cô lập Gigacage, sau đó khai thác lỗ hổng giao tiếp liên tiến trình của sandbox WebContent để đọc lịch sử duyệt web, cookie và cơ sở dữ liệu phiên, đồng thời tắt chính sách cùng nguồn gốc. Chuỗi này không cần thực thi mã tùy ý; chỉ bằng việc đọc dữ liệu, kẻ tấn công đã có thể lấy nội dung hộp thư hoặc trang ngân hàng mà người dùng đang đăng nhập trên các trang web khác. Apple xác nhận và vá ngay trong ngày.
Android (vượt màn hình khóa): mô hình kết hợp phân tích mã nguồn, dịch ngược Google Play Services và thử nghiệm trên máy Pixel 9 thật, lần lượt vượt qua giới hạn USB, cơ chế cấp quyền truyền giữa các thiết bị, bước xác minh ghép đôi sáu chữ số và giới hạn về nội dung tệp, từ đó lấy ảnh và dữ liệu cá nhân khác từ chiếc điện thoại đang khóa. Google cho biết đã xử lý.
Windows (từ chối dịch vụ từ xa): bản triển khai QUIC trong nhân Windows có lỗi đọc ngoài biên; chỉ cần gửi từ xa vài gói tin là máy sẽ sập và khởi động lại, gửi lặp lại có thể làm gián đoạn dịch vụ liên tục. Báo cáo ước tính có khoảng vài triệu máy chủ trên Internet bị ảnh hưởng. CVE tương ứng là CVE-2026-33096, Microsoft đã vá.
Linux (thực thi từ xa không cần nhấp): lỗ hổng nằm ở bộ lắng nghe MPTCP (TCP đa đường), là lỗi use-after-free do race condition. Kẻ tấn công không cần thông tin xác thực, từ xa vượt qua ngẫu nhiên hóa địa chỉ nhân, chiếm quyền điều khiển luồng thực thi và chạy lệnh với quyền root. Trong bản chứng minh khái niệm, việc làm rò rỉ con trỏ nhân mất khoảng 48 phút, sau đó khoảng 5 phút là thực thi được lệnh. Bản vá đã vào nhánh upstream và được chuyển ngược (backport) sang mọi nhánh nhân ổn định còn được bảo trì.
Riêng Chrome có 62 CVE
Chrome là hạng mục có con số lớn nhất trong báo cáo. Các lỗ hổng Anthropic báo cho Google được cấp tổng cộng 62 CVE, tất cả ở mức cao hoặc nghiêm trọng, trong đó 13 lỗi là thoát sandbox và 21 lỗi có thể dùng để điều khiển tiến trình render; tất cả đã được vá trong Chrome 156. Báo cáo cũng nhắc đến các lỗ hổng leo thang đặc quyền cục bộ trên OpenBSD và FreeBSD, cùng một số lỗi thoát sandbox và lỗ hổng ứng dụng web, nhưng không đi vào chi tiết từng lỗi.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(Các mô hình tiên phong có khả năng phát hiện và kết hợp nhiều lỗ hổng thành một chương trình khai thác dùng được.)
Báo cáo không nêu tổng thời gian hay chi phí tính toán; chỉ chuỗi Linux có số liệu thời gian cụ thể.
So với các kết quả đội đỏ trước đây
Đặt kết quả này cạnh các trường hợp công khai hồi đầu năm, điểm khác nằm ở mức độ con người can thiệp. Trước đó, các nhà nghiên cứu bên ngoài từng dùng Claude Opus để dựng chuỗi tấn công nhắm vào bản Chromium cũ; theo ghi chép công khai, việc này mất khoảng một tuần, khoảng 20 giờ chuyên gia kèm cặp từng bước và hơn một nghìn yêu cầu. Lần này, báo cáo nhấn mạnh việc "mô hình tự hoàn thành sau lời nhắc ban đầu", và mục tiêu là các trình duyệt và nhân hệ điều hành mới nhất lúc đó, không phải môi trường thử nghiệm đã tắt các lớp bảo vệ.
Cũng trong tuần đó, Gemini 4 Carbon do Google phát hành đặt điểm chuẩn về tìm lỗ hổng, xác minh lỗ hổng và viết bản vá lên hàng đầu, và đợt đầu chỉ mở cho các bên làm phòng thủ mạng. Anthropic lần này cũng không mở mô hình nghiên cứu nói trên; các mô hình dùng được công khai như Mythos 5.1 được cung cấp qua chương trình xác minh an ninh mạng cho những chuyên gia bảo mật đã qua thẩm định.
Khuyến nghị cho bên phòng thủ
Các khuyến nghị của báo cáo thiên về thực hành: khi quét quy mô lớn, tăng sức mạnh tính toán lúc kiểm thử và dùng đa dạng trình quét sẽ làm số lỗ hổng tìm được tăng rõ rệt; ngoài việc dọn lỗ hổng tồn đọng, cần quét ngay ở giai đoạn pull request để giảm lỗ hổng mới lọt vào kho mã. Anthropic đã công bố một plugin Claude Code cho mục đích này.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(Lời khuyên của chúng tôi cho bên phòng thủ không đổi: quét chính mã của mình quan trọng hơn bao giờ hết.)
Về quy trình tiết lộ, nhà cung cấp có 90 ngày để sửa, rồi thêm 45 ngày nữa mới bàn đến các chi tiết kỹ thuật ngoài thông báo. Theo quy trình này, những gì báo cáo viết chỉ là phần đã được sửa xong; tổng số lỗ hổng mô hình đã tìm ra nhưng chưa được vá thì Anthropic không công bố.
Nguồn tham khảo: báo cáo nghiên cứu của đội đỏ Frontier thuộc Anthropic, IT Home, CocoLoop; đã đối chiếu các hệ thống liên quan đến năm chuỗi tấn công, số lượng và phân loại CVE của Chrome, và thời gian của bản chứng minh khái niệm trên Linux.