Anthropic сообщила, что её неопубликованная исследовательская модель Claude помогла найти уязвимости в Chrome, Safari, Android, Windows и Linux и собрать из них пять работающих цепочек атак. Как пишет IT Home, компания передала сведения об уязвимостях разработчикам, и те выпустили исправления.
Самый большой набор отчётов касался Chrome: по данным Anthropic, после её обращений к Google зарегистрировали 62 уязвимости высокой или критической степени опасности, в том числе 13 способов выхода из песочницы браузера. Песочница ограничивает доступ веб-страницы к остальной системе. В одной из проверок цепочка, начинавшаяся с ошибки в движке JavaScript V8, позволила после загрузки страницы запустить приложение «Калькулятор» на Mac со стандартной установкой macOS. Исправления вошли в Chrome 156.
Другие цепочки показывали разные условия атаки. В Safari вредоносный сайт после одного клика мог обойти изоляцию данных разных сайтов и получить доступ к конфиденциальной информации. На заблокированном Pixel 9 извлечение фотографий через USB требовало физического доступа к телефону. Найденная в Windows ошибка позволяла удалённо вызвать сбой сервера, обрабатывающего HTTP/3-запросы; Microsoft исправила её ещё в апреле 2026 года.
Для Linux исследователи описали атаку на сервер с запущенным слушателем Multipath TCP: отправка сетевых пакетов позволяла без учётных данных получить командную оболочку с правами root. По данным Anthropic, в её проверке это заняло 53 минуты, из которых 48 ушло на получение адреса в памяти ядра.
Источник: IT Home.
