Anthropics Frontier Red Team erklärt, ein nicht veröffentlichtes internes Modell habe fünf getrennte Schwachstellenketten in funktionsfähige Proof-of-Concept-Exploits für Chrome, Safari, Android, Windows und Linux verwandelt – im Labor, auf Zuruf, mit jeder Lücke, die vor der Veröffentlichung beim Hersteller gemeldet wurde. Einer der Belege öffnete auf einem unveränderten Mac mit Chrome innerhalb von Sekunden nach dem Laden einer Seite die Rechner-App, ohne weiteren Klick.
Die Rahmung des Unternehmens ist bewusst gewählt: Beunruhigend ist nicht der einzelne Fehler, sondern dass ein Modell mehrere getrennte Lücken fand und zu etwas verband, das ein Mensch ausführen konnte.
Was jede Kette bewirkt hätte
- Chrome: Codeausführung außerhalb der Browser-Sandbox durch einen einzigen Seitenaufruf. Vier Fehler in Folge – eine Speicherkorruption in V8, ein Ausbruch aus der V8-Sandbox, eine Race Condition in CacheStorage, die das Speicherlayout des Browserprozesses preisgab, und ein Use-after-free in FedCM, um außerhalb der Sandbox zu laufen. Behoben in Chrome 156 am 20. Oktober. Anthropic will 62 Lücken an Google gemeldet haben, alle kritisch oder hoch, 13 davon Sandbox-Ausbrüche. - Safari: Vollständiger Lese- und Schreibzugriff auf den Browserspeicher, dann ein einzelner gekippter Wert, der die Same-Origin-Policy abschaltete – eine bösartige Seite konnte die Konten eines angemeldeten Nutzers auf anderen Sites lesen und in dessen Namen Anfragen senden. Behoben in iOS und iPadOS 26.5.2 am 29. Juni. - Android: Auslesen von Fotos und anderen Daten von einem gesperrten, gestohlenen Gerät über USB. Anthropic zufolge von Google behoben; The Hacker News fand keinen öffentlichen Beleg. - Windows: Ein entfernter Denial-of-Service gegen Server, die HTTP/3 beantworten. Zugeordnet zu CVE-2026-33096, gepatcht im April 2026, Bewertung 7,5. - Linux: Befehle als root über das Netzwerk, ohne Anmeldung und ohne Nutzeraktion, gegen einen Server mit Multipath-TCP-Listener. Laut Anthropic brauchte der Proof of Concept 48 Minuten, um eine Kernel-Adresse zu leaken, und fünf weitere bis zur Shell; ein fehlgeschlagener Versuch bringe die Maschine nicht zum Absturz und lasse sich wiederholen. CVE-2026-98432, Bewertung 9,8, behoben am 15. Oktober.
Der Teil, den man nicht prüfen kann
Apple und Google nennen in ihren eigenen Release Notes Anthropic-Forscher mit Modellunterstützung – „Milad Nasr und Nicholas Carlini mit Claude, Anthropic" für den Safari-Fix, „Xinyang Ge von Anthropic, unterstützt von Claude" für bestimmte Chrome-Fixes. Das stützt die Entdeckungshälfte der Behauptung.
Kein öffentlicher Beleg zeigt jedoch, wie viel jeder Kette das Modell allein gebaut hat. Anthropic sagt, die Arbeit habe nur „erste Prompts" und „wenig menschliche Beteiligung" gebraucht; was ein Mensch bei welchem Schritt tat, wird nicht aufgeschlüsselt, und das Modell bleibt namenlos – „ein nicht veröffentlichtes internes Forschungsmodell". Zwei der fünf CVE-Zuordnungen passen schlecht zu ihren Einträgen: Der Windows-Hinweis nennt HTTP.sys statt QUIC-Verarbeitung und führt gar keinen Finder auf; das Linux-CVE beschreibt einen IPv4-TCP-Fix, nicht Multipath TCP. Diese Verknüpfungen stützen sich allein auf Anthropics Beitrag.
Auch die Fähigkeitsbehauptung ist kaum prüfbar: Kein Verteidiger kann sie gegen ungepatchte Ziele wiederholen, weil die Ziele gepatcht sind.
Warum Anthropic das veröffentlichte
Das Team verweist auf koordinierte Offenlegung – 90 Tage zum Patchen, 45 weitere, bevor Details über den Advisory hinaus besprochen werden – und auf ein defensives Motiv. Im Beitrag heißt es: „Jetzt ist es etwas, das Modelle mit wenig menschlicher Beteiligung können – und dann beweisen, indem sie einen funktionierenden Exploit liefern, den jeder ausführen und verifizieren kann."
Geprüfte Sicherheitsfachleute erhalten über ein erweitertes Cyber Verification Program Zugang, das Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1 umfasst. Diese Zugangsschwelle ist das ehrliche Signal dafür, wo diese Fähigkeit steht: hinter einer Einladung, nicht hinter einer Bezahlschranke.
Die unbequeme Rechnung: Eine 90-Tage-Uhr und ein Modell, das Exploit-Ketten schreibt, nützen beiden Seiten jeder Offenlegung. Vier der fünf Lücken sind bereits öffentlich und gepatcht; die fünfte ist in dem Sinne öffentlich, der zählt – jemand hat sie aufgeschrieben.
