Ein KI-Modell, das du nicht benutzen kannst, baut Angriffe, die funktionieren. So fasst The Hacker News einen neuen Bericht von Anthropic zusammen. Das Frontier Red Team des Unternehmens beschreibt fünf Exploit-Ketten. Sie stammen von einem unveröffentlichten, internen Forschungsmodell, dessen Namen Anthropic nicht nennt.
Wichtig vorab: Die Exploits entstanden im Labor. Es gibt keinen Hinweis auf echte Angriffe. Alle Lücken wurden zuerst den Herstellern gemeldet, und laut Bericht sind sie gepatcht.
WAS HAT DIE KI GEBAUT?
Das Modell fand Fehler in Chrome, Safari, Android, Windows und Linux und kombinierte sie zu Proof-of-Concepts. Anthropic spricht von „initial prompting“ und „little human involvement“. Wie viel ein Mensch bei jedem Schritt beitrug, schlüsselt das Unternehmen nicht auf.
- Chrome: Code läuft außerhalb der Browser-Sandbox, nach einem einzigen Seitenaufruf. Behoben mit Chrome 156 am 20. Oktober.
- Safari: Eine Webseite kann Daten anderer Seiten lesen, bei denen du angemeldet bist. Behoben mit iOS und iPadOS 26.5.2 am 29. Juni.
- Android: Daten von einem gesperrten, gestohlenen Handy per USB. Anthropic sagt, Google habe es behoben, einen öffentlichen Nachweis fand THN nicht.
- Windows: Ein Server mit HTTP/3 lässt sich per Netzwerk lahmlegen (Denial of Service). CVE-2026-33096, im April gepatcht.
- Linux: Root-Befehle über das Netzwerk, ohne Login, wenn ein Multipath-TCP-Listener läuft. CVE-2026-98432, am 15. Oktober im Kernel behoben.
DIE CHROME-KETTE: VIER FEHLER HINTEREINANDER
Besonders detailliert ist der Chrome-Angriff. Er besteht aus vier Schritten:
- Speicherfehler in V8, der JavaScript-Engine.
- Ausbruch aus der V8-Speicher-Sandbox und Kontrolle über den Render-Prozess.
- Eine Race Condition in CacheStorage, die Speicher offenlegt und das Layout des privilegierten Browser-Prozesses verrät.
- Ein Use-after-free in FedCM, der Anmelde-Funktion von Chrome. Damit läuft Code außerhalb der Sandbox.
Ein Beispiel-PoC öffnete auf einem Mac mit Standard-Chrome binnen Sekunden den Taschenrechner, ohne weiteren Klick. Anthropic meldete insgesamt 62 Lücken an Google, darunter 13 Sandbox-Ausbrüche. Alle wurden mit Chrome 156 behoben und sind als kritisch oder hoch eingestuft. Googles Release-Notizen nennen „Xinyang Ge of Anthropic, assisted by Claude“ für einzelne Fixes, aber nicht für alle 62.
SAFARI UND LINUX: SCHNELL UND LEISE
Die Safari-Kette führt keinen eigenen Code aus. Sie bekommt Lese- und Schreibzugriff auf den Browser-Speicher und ändert einen einzigen Wert, der die Same-Origin-Policy abschaltet. Danach könnte eine präparierte Seite Verlauf und Cookies lesen und Anfragen im Namen des Nutzers an andere Seiten schicken. Apple dankt „Milad Nasr and Nicholas Carlini with Claude, Anthropic“.
Bei Linux brauchte der PoC laut Anthropic 48 Minuten, um eine Kernel-Adresse zu leaken und KASLR zu umgehen. Weitere fünf Minuten später stand eine Root-Shell. Ein Fehlversuch stürzt das System nicht ab, Wiederholungen sind also möglich. CVE-2026-98432 ist ein Use-after-free mit Wertung 9,8.
WAS NOCH UNKLAR IST
THN weist auf offene Punkte hin. Die Windows-CVE nennt HTTP.sys und eine Wertung von 7,5, die Beschreibung passt nicht eindeutig zu Anthropics QUIC-Darstellung. Auch die Linux-CVE beschreibt öffentlich einen IPv4-TCP-Fix, nicht Multipath TCP. Die Zuordnung beruht hier auf Anthropics Angabe. Unabhängig bestätigt ist die Rolle der KI nur dort, wo Apple und Google Anthropic und Claude für Fixes nennen.
WARUM VERÖFFENTLICHT ANTHROPIC DAS?
Anthropic argumentiert, ein funktionierender Exploit sei ein überprüfbarer Beweis für das, was Modelle mit wenig menschlicher Hilfe können. Es gilt eine koordinierte Offenlegung: 90 Tage für Hersteller zum Patchen, danach 45 Tage, bevor Details über ein öffentliches Advisory hinaus besprochen werden. Das Modell selbst bleibt unveröffentlicht, ein Termin ist nicht bekannt. Sicherheitsteams verweist Anthropic auf das erweiterte Cyber Verification Program mit Zugang zu Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1.
SO REAGIERST DU
- Browser: Chrome auf 156 oder neuer, Safari-Geräte auf iOS und iPadOS 26.5.2 oder neuer.
- Linux-Server: Kernel-Updates einspielen, besonders bei Hosts mit Multipath TCP.
- Windows-Server mit HTTP/3: April-Patches prüfen.
- Homelab: Unattended Upgrades aktivieren, damit Kernel-Fixes nicht Wochen liegen bleiben.
FAZIT: Die Patch-Frist schrumpft
Kein Grund zur Panik, aber ein klares Signal. Wenn KI-Modelle aus einzelnen Fehlern in kurzer Zeit funktionierende Ketten bauen, schrumpft die Zeit zwischen Fix und Angriff. Wer zügig patcht, ist im Vorteil.