Anthropicの未公開AI、複数の脆弱性を組み合わせた攻撃コードを開発

Anthropicは10月27日、Discovering and exploiting vulnerabilities in critical, real-world software with Claudeにおいて、未公開の社内研究用AIモデルを使い、主要なWebブラウザやOSに存在する脆弱性を発見し、実際に動作する攻撃コードを開発したと発表した。

同社のFrontier Red Teamが公開した研究報告では、Chrome、Safari、Android、Windows、Linuxを対象とする5つの攻撃手法を紹介している。いずれもAIモデルが複数の脆弱性や保護機構の弱点を組み合わせたもので、従来は高度な専門知識が必要だった攻撃コード開発を、少ない人間の介入で実現できる可能性を示した。

Chromeの4つの脆弱性を連鎖、サンドボックスを突破

Chromeの事例では、4つの脆弱性を順番に利用した。最初にJavaScriptエンジン「V8」のメモリを破壊し、次の欠陥でV8のメモリサンドボックスを突破して、ページ描画を担うChrome内部の処理を制御する。

続いてCacheStorageの競合状態を利用し、本来アクセスできないメモリを読み取って、より高い権限を持つブラウザプロセスのメモリ構造を把握した。最後に、ログイン機能FedCMに存在する解放後使用(UAF: use-after-free)の脆弱性を利用し、サンドボックス外でのコード実行に至った。

AnthropicはGoogleに62件の脆弱性を報告。これら脆弱性には緊急(Critical)または重要(Important)の評価が付き、Chrome 156までに修正された。このうち13件はサンドボックス回避に関係する。Googleのリリースノートは、一部の修正についてAnthropicの研究者とClaudeの協力を明記している。

Safariではサイト間の情報取得、AndroidやWindowsでも攻撃を実証

Safariの事例では、複数の脆弱性を連鎖させることで、Webブラウザ内のメモリ領域に対する完全なアクセス権限を取得した。次に特定の値を書き換え、同一オリジンポリシーを無効化することでWebサイト間のアクセスを獲得。この操作により、Webサイト側から閲覧履歴やCookieの取得、ログイン済みの他サイトへのリクエスト送信を可能にした。AppleはiOSおよびiPadOS 26.5.2で中核となる脆弱性を修正し、Anthropicの研究者とClaudeの貢献を記載した。

Androidの事例では、盗難されたロック中の端末にUSB経由で物理的に接続し、写真などのデータを取り出す手法が示された。AnthropicはGoogleによって修正済みと説明しているが、The Hacker Newsは、「Anthropic's Unreleased AI Model Chains Flaws Into Working Chrome, Safari, Windows and Linux Exploits」において、公開記録から該当する修正を確認できなかったと伝えている。

Windowsの事例は、ネットワーク経由でサーバを停止させるサービス運用妨害(DoS: Denial of Service)に該当する。少数のパケットでシステムをクラッシュさせ、同じ操作を繰り返すことで停止状態を維持する。コード実行やデータ窃取には至らない。

Anthropicは、WindowsカーネルのQUIC処理における境界外読み取りの脆弱性を発見し、Microsoftが「CVE-2026-33096」として修正したと説明している。一方、公開されているCVE情報では、WindowsのHTTP処理機構「HTTP.sys」の脆弱性と記載されている。

Linuxの事例では、Multipath TCPの待ち受け処理が稼働するサーバに対し、認証なしで遠隔からroot権限のコマンドを実行する攻撃コードを開発した。Anthropicはこの問題を「CVE-2026-98432」に関連付けている。同脆弱性はLinuxカーネル上流で修正されているが、ディストリビューションごとに対応状況が異なる。脆弱性の詳細やUbuntuなどの修正状況については、別記事で紹介する。

AIによる攻撃コード開発が高度化、防御側への活用も提案

Anthropicは自社が定める脆弱性情報の開示ポリシーに基づき、各ベンダーに修正期間として90日間の猶予期間を設けた。さらに詳細な技術情報については、パッチ公開から45日間を猶予する仕組みを適用し、今回の情報公開に至ったと説明した。

同社は報告書の最後で、誰でも人間の介入なしに同様のエクスプロイト開発が可能になったと主張し、防御側にも強力なAIモデルが必要と述べた。また、この防御対応に利用可能として、セキュリティ担当者に、Claude Opus 5.5、Sonnet 5.5、Mythos 5.1へのアクセスを含む「Cyber Verification Program」の活用を提案した。