Anthropic beschreibt fünf Angriffsketten, die ein internes KI-Modell in verbreiteter Software entwickelte

Ein internes Modell untersuchte sicherheitskritische Software

Anthropic hat einen technischen Bericht veröffentlicht, in dem das Unternehmen beschreibt, wie ein internes Forschungsmodell – noch nicht kommerziell verfügbar – Schwachstellen in weit verbreiteter Software identifizierte. Die mehrmonatige Untersuchung umfasste Browser wie Chrome und Safari sowie Windows, Linux und Android. Anthropic zufolge wurden die Schwachstellen den betroffenen Herstellern im Rahmen einer koordinierten Offenlegung gemeldet.

Entscheidend ist nicht nur, dass das Modell einzelne Fehler fand. Laut Bericht kombinierte es mehrere Schwachstellen zu Angriffsketten, die als funktionsfähige Exploits demonstriert wurden. Solche Arbeit erforderte bislang häufig erfahrene Spezialisten. Anthropic zufolge gelang dem Modell dies mit geringer menschlicher Beteiligung; wie viel Unterstützung in den einzelnen Fällen nötig war, legt der Bericht jedoch nicht genau dar.

Fünf Angriffsketten in Browsern und Betriebssystemen

Der Bericht beschreibt fünf konkrete Szenarien. In Chrome entwickelte das Modell eine Kette, die nach dem Laden einer Webseite die Ausführung von Code außerhalb der Browser-Sandbox ermöglichte. Dazu kombinierte es Fehler im JavaScript-System V8 mit einer Race Condition in CacheStorage und einer Use-after-free-Schwachstelle in FedCM, der Funktion für föderierte Anmeldungen.

Für Safari beschrieb Anthropic einen Exploit, mit dem JavaScript einer Webseite die Same-Origin-Policy umgehen und auf Verlauf, Cookies und Sitzungsdaten zugreifen konnte. Dafür war keine beliebige Codeausführung erforderlich. Bei Android entwickelte das Modell einen Angriff, der persönliche Daten von einem gesperrten Gerät auslesen konnte. Laut Bericht wurden dabei Schutzmechanismen für USB-Datenübertragungen und die Geräte-Kopplung umgangen; getestet wurde auf einem Google Pixel 9.

Linux: mögliche Befehlsausführung ohne Nutzerinteraktion

Der Linux-Fall betraf laut Anthropic einen Race-Condition-Fehler in der Netzwerkimplementierung des Kernels. Ein Angreifer hätte damit aus der Ferne und ohne Zugangsdaten Befehle als root auf Servern ausführen können, auf denen Multipath TCP (MPTCP) aktiv war. Anthropic ordnet den Fall CVE-2026-98432 zu und erklärt, die Schwachstelle sei im Upstream-Kernel und in gepflegten stabilen Kernel-Zweigen behoben worden.

Der im Bericht beschriebene Proof of Concept bestand aus zwei Phasen: Zunächst wurde die Kernel-Speicherbelegung offengelegt, um KASLR zu umgehen. Anschließend nutzte der Angriff denselben Use-after-free-Fehler, um einen Callback-Zeiger zu überschreiben und eine vorbereitete Nutzlast auszuführen. Anthropic beziffert die Dauer des Demonstrationsablaufs auf etwa 53 Minuten. Die genaue Zuordnung zwischen der beschriebenen MPTCP-Angriffskette und dem öffentlichen CVE-Eintrag ist nicht unabhängig durch den Bericht belegt; der Bericht von Anthropic ist hier die zentrale Grundlage.

Methodik: parallele Analyse und Reverse Engineering

Anthropic beschreibt das Verfahren nicht als einfachen automatischen Scan. Für den Windows-Fall erhielt das Modell nach Angaben des Unternehmens eine Binärdatei und sollte sie mit Werkzeugen wie Ghidra analysieren. Zu den Aufgaben gehörten, die Funktionsweise nachzuvollziehen, ein kommentiertes C-Programm zur Nachbildung relevanter Abläufe zu schreiben, dessen Verhalten mit der Binärdatei zu vergleichen und anschließend nach Schwachstellen zu suchen.

Die Plattform führte laut Anthropic zahlreiche Analyse-Agenten parallel aus. Das Unternehmen maß, welche zusätzlichen Schwachstellen die einzelnen Scanner beitrugen, und passte die Codeabdeckung dynamisch an. Bestätigte Funde wurden einer Variantenanalyse sowie einem standardisierten Verfahren zur Überprüfung und Risikoeinstufung unterzogen. Der Bericht erklärt jedoch weder die Zahl aller gefundenen Schwachstellen noch Fehlalarmquoten oder den Zeitaufwand pro Fund.

Bedeutung für die Verteidigung – und offene Fragen

Die beschriebenen Ergebnisse zeigen, dass ein Forschungsmodell mehrere Schwachstellen zu einem funktionsfähigen Exploit kombinieren kann. Das kann die Arbeit von Sicherheitsforschern unterstützen, wirft aber auch Fragen zur Verbreitung solcher Fähigkeiten auf. Aus dem Bericht allein lässt sich nicht ableiten, wie schnell Angreifer vergleichbare Methoden übernehmen oder wie häufig solche Angriffe künftig auftreten werden.

Anthropic argumentiert, Verteidiger sollten Zugang zu leistungsfähigen Modellen erhalten, um eigene Systeme zu prüfen und Schwachstellen möglichst früh zu beheben. Das Unternehmen hat sein Cyber Verification Program erweitert, über das qualifizierte Sicherheitsexperten Zugang zu fortgeschrittenen Fähigkeiten erhalten sollen. Als Empfehlung für Entwicklungsteams nennt Anthropic außerdem Sicherheitsprüfungen bereits bei Pull Requests. Diese Vorschläge sind Unternehmenspositionen; der Bericht belegt nicht, dass ein bestimmtes Verfahren für alle Organisationen ausreicht.

Wichtige Details bleiben offen: Anthropic spricht von anfänglichen Anweisungen und menschlicher Steuerung in einigen Arbeitsschritten, beziffert den Umfang der Unterstützung aber nicht für jede Angriffskette. Auch Angaben zu Fehlalarmen, zur Gesamtzahl der untersuchten Funde und zur Zeit pro Fund fehlen. Die Demonstrationen belegen, was das interne Modell in den beschriebenen Tests leisten konnte; sie zeigen nicht, dass es jede Schwachstelle selbstständig findet oder dass die Ergebnisse auf andere Software und Umgebungen übertragbar sind.

Weiter entdecken

Korrekturen und Transparenz

Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.