In questo articolo Indice dei contenuti 3 sezioni
Una versione interna e non ancora pubblicata di Claude è riuscita a trovare e concatenare exploit reali contro Chrome, Safari, Android, Windows e Linux. A raccontarlo è Anthropic, che descrive un modello capace non soltanto di scovare un bug ma di collegare più falle fino a ottenere esecuzione di codice nel browser di Google, aggirare le difese di Safari, superare la schermata di blocco di Android o arrivare a una shell root passando dalla rete. Tutto il materiale prodotto è stato verificato e girato ai rispettivi produttori sotto forma di segnalazioni.
Per decenni un lavoro del genere ha richiesto specialisti esperti di reverse engineering, analisi della memoria, studio dei protocolli e fuzzing. Gli strumenti automatici hanno sempre dato una mano ma quasi mai riuscivano a costruire da soli una catena completa. Secondo l’azienda, ora un modello può gestire buona parte dell’attività con un intervento umano limitato. Il dato più eloquente riguarda Chrome, con 62 falle già corrette in Chrome 156. Tra queste ce ne sono 13 utili per uscire dalla sandbox e 21 potenzialmente sfruttabili per compromettere il renderer, cioè il processo che compone sullo schermo gli elementi delle pagine Web.
Chrome e Safari messi alle corde
Contro il browser di Google è stata costruita una catena one click, in cui basta aprire una pagina malevola per vedere il sistema aggredito. Claude ha prima individuato nel motore JavaScript V8 una vulnerabilità capace di corrompere la memoria heap. Una seconda falla permetteva di oltrepassare i limiti della sandbox di V8 e ricavare informazioni per neutralizzare ASLR, la protezione che rende imprevedibile la posizione del codice in memoria. A quel punto una catena ROP, fatta di frammenti di codice già presenti nel processo, ha consegnato il controllo del renderer. Per superare la sandbox del browser il modello ha sfruttato una race condition in CacheStorage e poi un use after free in FedCM, il componente dedicato all’identità federata. La dimostrazione si chiude con l’avvio della Calcolatrice su macOS partendo da Chrome in configurazione standard. Google ha pubblicato Chrome 156 il 20 ottobre 2026 e nel bollettino compaiono diverse falle attribuite a ricercatori Anthropic con la dicitura “assisted by Claude”.
Con Safari la strada è stata un’altra, visto che non è servita l’esecuzione di codice arbitrario. Il punto di partenza è un use after free in JavaScriptCore legato ai TypedArray, che consentiva di modificare metadati usando puntatori non più validi. Claude ha poi trovato il modo di aggirare Gigacage sfruttando variabili della regione protetta come indici verso altre aree. Un ulteriore difetto nell’IPC della sandbox WebContent apriva l’accesso a cronologia, cookie e database di sessione. Alla fine il modello interviene direttamente sui dati che regolano la Same Origin Policy e una pagina ostile riesce così a leggere risorse di altri domini, sessioni autenticate comprese. Apple ha già corretto le vulnerabilità WebKit collegate a queste ricerche.
Android e Windows, due approcci molto diversi
Su Android il lavoro ha unito l’analisi del codice open source, il reverse engineering dei binari di Google Play Services e prove su un Pixel 9 fisico. L’obiettivo era estrarre foto e altri dati senza conoscere il codice di sblocco. Claude ha trovato una configurazione USB capace di aggirare il blocco dei trasferimenti a telefono chiuso, un modo per scavalcare il controllo sui peer non autorizzati e una falla che permetteva di proseguire come se il codice a 6 cifre del pairing fosse già stato confermato. Un meccanismo alternativo consentiva infine di inviare byte grezzi via USB. Google ha sistemato tutte le falle segnalate.
Per Windows il modello non aveva i sorgenti. Anthropic gli ha fornito file binari e strumenti come Ghidra, chiedendo di ricostruire il componente in C e fare verifiche sugli eseguibili originali. Ne è emersa una lettura fuori dai limiti nella gestione di QUIC da parte del driver HTTP.sys, raggiungibile da remoto con richieste HTTP/3. Pochi pacchetti costruiti ad arte bastano per mandare in crash la macchina e ripetendo l’operazione si arriva a un Denial of Service persistente. Microsoft ha corretto il problema.
Linux e la forza degli agenti multipli
La dimostrazione più aggressiva riguarda Linux e Multipath TCP, supportato dal kernel dalla serie 5.6. Una race condition porta a un use after free nello stack di rete. Nella prima fase il kernel legge più memoria del previsto e può restituire un indirizzo interno utile ad aggirare KASLR. Nella seconda il bug viene sfruttato di nuovo per modificare un puntatore a callback e arrivare a eseguire comandi con privilegi root. Nel proof of concept servono in media circa 48 minuti per ottenere l’indirizzo e altri 5 per completare l’attacco, ma i tentativi falliti non mandano in crash il sistema e si può riprovare molte volte.
Secondo Anthropic, aumentando la capacità di calcolo e facendo lavorare più agenti AI con obiettivi differenti il numero di falle trovate cresce sensibilmente. Alcuni analizzano il codice funzione per funzione, altri ragionano su come violare il modello di sicurezza dell’applicazione. Sulle vulnerabilità confermate l’azienda applica poi una variant analysis automatizzata per scovare errori simili in altri punti del codice.
Fonte: TecnoAndroid