Yayınlanmamış bir Anthropic yapay zekâ modeli Chrome, Safari, Android, Windows ve Linux’ta güvenlik açıkları buldu ve bunları çalışan kanıt-üretimi istismarlara zincirledi; şirket bunu son raporunda açıkladı.
İstismarlar gerçek bir saldırıda görülmedi; laboratuvarda modele istem gönderildikten sonra oluşturuldu ve Anthropic her açığı önce satıcıya bildirdi, bu yüzden hepsi zaten yamalandı. Bir kanıt-üretimi, sayfa yüklendiği saniyeler içinde ek tıklama olmadan stok bir Mac’te Chrome üzerinden Hesap Makinesi uygulamasını açtı.
Anthropic’in Frontier Red Team’i bir araştırma yazısında beş zincir anlattı. En güçlü iddia tek bir hatadan değil, tek bir modelin birkaç ayrı açığı bulup bunları çalışan bir istismara birleştirmesinden oluşuyor; şirket bunun şimdiye kadar birkaç uzman ekibin işi olduğunu söylüyor. Bu yetenek iddiası Anthropic’in kendi anlatımına dayanıyor.
Yamalar ve Apple ile Google’ın Anthropic ve Claude modeline belirli düzeltmeler için teşekkür etmesi satıcılarla doğrulanabilir.
Okuyucunun kontrol edemeyeceği şey her zincirin ne kadarını modelin kendi başına kurduğu. Anthropic çalışmanın yalnızca “başlangıç istemi” ve “az insan müdahalesi” gerektirdiğini söylüyor, ancak her adımda bir kişinin ne yaptığını ayrıştırmıyor ve modeli yayınlanmamış, dahili bir araştırma modeli olarak adlandırmaktan öteye isim vermiyor.
Kendi kamu kaydı olan tek açık Windows açığı için kayıtta hiç bir bulucu adı geçmiyor. İşte beş zincir, her birinin ne yapacağı, hangi koşula ihtiyacı olduğu ve düzeltmenin nerede yapıldığı.
İstismar ne yapar
Gerektirdiği koşul
Bilgisayarda, tarayıcının kum havuzunun dışında, bir web sayfasını ziyaret etmekten kod çalıştırır
Tek tık veya sayfa yüklemesi, macOS üzerinde stok Chrome
Chrome 156, 20 Ekim
Kullanıcının oturum açtığı diğer sitelerden, örneğin e-posta veya banka hesabından veri okumasını herhangi bir web sitesine izin verir
Kötü amaçlı bir sayfayı bir kez ziyaret
iOS ve iPadOS 26.5.2, 29 Haziran
Kilitli, çalınmış bir telefondan fotoğrafları ve diğer verileri kopyalar
USB üzerinden telefona fiziksel erişim
Anthropic Google’ın bunu düzelttiğini söylüyor; kamu kaydı bulunamadı
Ağ üzerinden bir sunucuyu çökertir ve tekrarlayarak kapalı tutar
Sunucu HTTP/3 isteklerine yanıt verir
CVE-2026-33096, Nisan 2026’da yamalandı
Oturum açma ve kullanıcı eylemi olmadan ağ üzerinden root olarak komut çalıştırır
Sunucu bir multipath TCP dinleyicisi çalıştırır
CVE-2026-98432, 15 Ekim’de yamalandı
Chrome zincirinde model sırayla dört ayrı hatayı kullandı. Kötü amaçlı bir sayfa önce V8’de, Chrome’un JavaScript motorunda belleği bozdu.
İkinci bir hata V8’in bellek kum havuzundan kaçtı ve sayfayı işleyen Chrome bölümünün kontrolünü ele geçirdi. CacheStorage adlı bir özellikteki bir yarış durumu, bu kodun ulaşmaması gereken belleği okumasına ve daha ayrıcalıklı tarayıcı sürecinin düzenini öğrenmesine izin verdi.
FedCM’de, Chrome’un oturum açma özelliğinde, son bir use-after-free hatası istismarın kum havuzunun tamamen dışında kod çalıştırmasını sağladı. Anthropic Google’a Chrome 156 itibarıyla CVE atanmış ve düzeltilmiş 62 hata bildirdiğini, bunların hepsinin kritik veya yüksek dereceli olduğunu ve 13 tanesinin kum havuzu kaçışı olduğunu söylüyor.
Google’ın kendi sürüm notları “Anthropic’ten Xinyang Ge, Claude’un yardımıyla” ifadesiyle belirli Chrome düzeltmelerine teşekkür ediyor, ancak 62’sinin tamamı için değil.
Safari zinciri farklıdır çünkü hiç kod çalıştırmaz. Hataları birleştirerek tarayıcının belleğine tam okuma ve yazma erişimi elde eder, ardından tek bir değeri değiştirerek same-origin politikasını kapatır; bu kural bir web sitesinin diğerinin verilerini okumasını engeller.
Bu kural kapalı olduğunda kötü amaçlı bir sayfa kullanıcının geçmişini ve çerezlerini okuyabilir ve diğer sitelere oturum açmış istekler gönderebilir. Apple zincirin merkezindeki use-after-free hatasını iOS ve iPadOS 26.5.2’de düzeltti ve “Anthropic’ten Milad Nasr ve Nicholas Carlini ile Claude”a teşekkür etti.
Windows zinciri bağımsız bir belge izine sahip olan tek zincirdir ve aynı zamanda en dar olanıdır. Bu bir hizmet reddi saldırısıdır: birkaç ağ paketi makineyi çökertir ve tekrarlanması kapalı kalmasını sağlar, ancak kod çalıştırmaz veya veri çalmaz. Anthropic hatayı Windows çekirdeğinin QUIC işleme kısmındaki sınır dışı okuma olarak tanımlıyor.
Buna işaret ettiği hata için kamu kaydı CVE-2026-33096, bunun yerine Windows’un yerleşik web istek işleyicisi HTTP.sys’yi adlandırıyor ve 10 üzerinden 7,5 puan veriyor. Açık kaynakta bu iki açıklamayı aynı bileşen olarak birbirine bağlayan bir kayıt yok. CVE kaydı hiç bir bulucuya teşekkür etmiyor, bu yüzden Anthropic’in bu konudaki yazarlığı kendi yazısına dayanıyor.
Geç Ekim itibarıyla ABD hükümetinin güvenlik açığı zenginleştirme kaydı hatayı istismar edilmemiş olarak işaretledi ve CISA’nın bilinen istismar edilen hatalar kataloğunda yer almıyordu.
Linux zinciri etki açısından en ciddi olanıdır: oturum açma olmadan ağ üzerinden root olarak komut çalıştırır. Hedef sunucunun bir multipath TCP dinleyicisi çalıştırması gerekir. Model önce KASLR adlı bir savunmayı atlatmak için bir çekirdek bellek adresi sızdırır, ardından aynı yarış durumu hatasını yeniden kullanarak programı saldırganın daha önce yerleştirdiği koda yönlendirir ve bunun sonucunda root kabuğu oluşur.
Anthropic kanıt-üretiminin adresi sızdırmak için 48 dakika, kabuğa ulaşmak için beş dakika daha sürdüğünü ve başarısız bir denemenin sistemi çökertmediğini, böylece saldırganın denemeye devam edebileceğini söylüyor.
Şirket bu zinciri CVE-2026-98432’ye bağlıyor; bu çekirdek use-after-free hatası 9,8 puanla derecelendirildi ve 15 Ekim’de yukarı akışta düzeltildi; söz konusu CVE için kamu kaydı IPv4 TCP düzeltmesini anlatıyor, multipath TCP’yi değil ve ikisi yalnızca Anthropic’in yazısı ile ilişkilendiriliyor.
Anthropic çalışmayı savunmacılara yardım olarak çerçeveliyor. Her açığın geliştiricilere 90 gün yama süresi ve kamu danışmanlığının ötesinde ayrıntıların tartışılması için 45 gün daha veren koordineli bir açıklama politikası kapsamında bildirildiğini söylüyor ve güvenlik ekiplerini Claude Opus 5.5, Sonnet 5.5 ve Mythos 5.1’e erişim sağlayan genişletilmiş Siber Doğrulama Programı’na yönlendiriyor.
Şirketin yayınlama nedeni kendi sözleriyle şöyle: “Artık bu, az insan müdahalesiyle modellerin yapabildiği bir şey ve herkesin çalıştırıp doğrulayabileceği çalışan bir istismar üreterek kanıtlayabildiği bir şey.”
