Компания Anthropic сообщила о результатах испытаний экспериментальной модели, предназначенной для поиска уязвимостей в программном обеспечении. По данным разработчика, за несколько месяцев система выявила критические ошибки в Google Chrome, Safari, Android, Windows и Linux.
Модель самостоятельно выстраивала цепочки атак, которые потенциально позволяли получать доступ к пользовательским данным, обходить отдельные механизмы защиты и запускать произвольный код. В одних сценариях для атаки было достаточно открыть вредоносный сайт, в других участие пользователя не требовалось вовсе.
Ошибки в браузерах
В Google Chrome система обнаружила проблемы в JavaScript-движке V8, CacheStorage и механизме федеративной авторизации FedCM. Как утверждает Anthropic, на основе этих ошибок был подготовлен эксплойт, позволявший выйти из песочницы браузера и выполнить код с правами текущего пользователя.
В Safari модель сумела обойти политику одного источника — Same-Origin Policy, которая ограничивает доступ сайтов к данным друг друга. Для этого использовались ошибка управления памятью в JavaScriptCore, особенности защитного механизма Gigacage и уязвимость во взаимодействии между процессами.
Windows, Linux и Android
В Windows исследователи выявили уязвимость CVE-2026-33096 в реализации протокола QUIC на уровне ядра. Несколько специально сформированных сетевых пакетов могли удалённо привести к аварийному завершению работы и перезагрузке сервера, использующего встроенную поддержку HTTP/3.
В ядре Linux была обнаружена уязвимость CVE-2026-98432, затрагивающая сетевой стек при включённом Multipath TCP. Согласно описанию, она позволяла удалённо выполнять команды с правами root: эксплойт сначала раскрывал расположение памяти ядра в обход KASLR, а затем перехватывал управление. В этом случае от пользователя не требовалось никаких действий.
Отдельно модель изучила открытый код Android и закрытые компоненты сервисов Google Play. Результатом стал сценарий извлечения фотографий и других личных файлов с заблокированного смартфона Google Pixel 9.
Кроме того, Anthropic заявила об обнаружении ошибок повышения привилегий в OpenBSD, FreeBSD и Linux, а также уязвимостей, связанных с выходом из песочниц и распространёнными веб-приложениями. Компания утверждает, что передала сведения разработчикам, а выявленные проблемы были устранены.
Мнение редакции
Главный результат этой истории — не в перечне затронутых платформ, а в изменении самого процесса поиска ошибок. Автоматизированные инструменты уже умеют не только замечать отдельные слабые места в коде, но и связывать их в работающие сценарии атак. Для производителей ПО это означает необходимость быстрее проверять обновления и выстраивать защиту с расчётом на всё более доступные средства анализа уязвимостей.
