Anthropic: niepublikowany model Claude zbudował pięć łańcuchów exploitów, w tym obejście blokady Pixela 9

27 października Frontier Red Team Anthropic opublikował opis badań, w których nieopublikowany, wewnętrzny model badawczy Claude znalazł luki i połączył je w pięć działających łańcuchów ataku. Cele to Chrome, Safari, Android na telefonie Pixel 9, Windows i Linux. Według Anthropic producenci załatali opisane podatności.

Pięć celów, pięć łańcuchów

Anthropic podaje, że model działał po wstępnym promptowaniu i z kodu źródłowego oraz inżynierii wstecznej budował pełne łańcuchy, a nie pojedyncze błędy. W Chrome na macOS łańcuch zaczynał się od uszkodzenia sterty w silniku V8, przechodził przez ucieczkę z piaskownicy V8, wyścig w CacheStorage, a kończył na błędzie use-after-free w FedCM. W teście kalkulator uruchamiał się w ciągu kilku sekund od załadowania strony.

W Safari łańcuch obejmował błąd w JavaScriptCore, obejście mechanizmu Gigacage i lukę w komunikacji IPC piaskownicy WebContent, a na końcu wyłączał politykę same-origin. Anthropic opisuje to jako atak na dane, bez wykonywania dowolnego kodu. Apple naprawił podatność, a według Anthropic niektóre słabości Safari to zamierzone zachowania, które stają się groźne dopiero w połączeniu.

Zablokowany Pixel 9

Najbardziej namacalny dla użytkowników jest przypadek Androida. Model analizował otwarty kod Androida, dekompilował binaria usług Google Play i testował wyniki na fizycznym Pixelu 9. Połączył trzy z wykrytych podatności i obszedł kolejne warstwy ochrony: blokadę transferu danych przez USB na zablokowanym urządzeniu, sprawdzenie autoryzacji w protokole parowania urządzeń oraz weryfikację sześciocyfrowego kodu, tak jakby użytkownik stuknął „Zezwól”.

Do tego doszła ścieżka awaryjna, która wysyłała surowe bajty przez USB i omijała zaszytą kontrolę zawartości plików. Efekt: ze skradzionego, zablokowanego telefonu dało się wyciągnąć zdjęcia i dane osobiste. Atak wymaga fizycznego dostępu do urządzenia. Anthropic zaznacza, że Google to naprawił, ale według relacji serwisu eSecurity Planet sam Anthropic nie wskazał numeru poprawionej wersji oprogramowania.

Windows i Linux

W Windows chodzi o odczyt poza zakresem w implementacji QUIC w jądrze, osiągalny przez HTTP/3. Kilka pakietów wystarcza, by doprowadzić do awarii i restartu maszyny. Błąd znaleziono analizą binarną w narzędziu Ghidra, a Anthropic szacuje, że narażone są miliony serwerów. Trudność polegała według autorów głównie na samym znalezieniu luki.

Na Linuksie model wykorzystał wyścig prowadzący do use-after-free w stosie multipath TCP. Pierwszy etap omija KASLR przez wyciek adresu, drugi nadpisuje wskaźnik funkcji zwrotnej i uruchamia polecenia z uprawnieniami roota. Przegrany wyścig kończy się tylko nieudanym handshake'em bez awarii systemu, więc atakujący może próbować wielokrotnie. Poprawka trafiła do jądra i gałęzi stabilnych, ale eSecurity Planet zwraca uwagę, że biuletyn Ubuntu z 28 października nadal oznaczał część wydań jako w trakcie naprawy.

Zastrzeżenia i co dalej

To wyniki laboratoryjne opisane przez samego Anthropic, na modelu, który nie jest dostępny publicznie. Anthropic podaje politykę ujawniania z 90 dniami na poprawkę i dodatkowymi 45 dniami, zanim omawiane są dalsze szczegóły. Wspomniane CVE dotyczą opisanych przykładów, a nie wszystkich znalezisk.

skanowanie własnego kodu jest ważniejsze niż kiedykolwiek - zespół Frontier Red Team, Anthropic

Dla polskich zespołów bezpieczeństwa praktyczny wniosek jest prosty: sprawdzić poziom aktualizacji przeglądarek (Chrome 156 i nowsze), jąder Linuksa i serwerów Windows z włączonym HTTP/3. Dla użytkowników Pixela 9 to kolejny argument za bieżącymi aktualizacjami i zabezpieczeniem urządzenia przed kradzieżą, bo opisany atak wymaga fizycznego dostępu.