Anthropic Claude trova e concatena exploit reali contro Chrome, Safari, Android, Windows e Linux

Un modello AI capace non soltanto di individuare un bug, ma di concatenare più vulnerabilità fino a ottenere esecuzione di codice su Chrome, aggirare le protezioni di Safari, superare la schermata di blocco di Android o arrivare a una shell root attraverso la rete è qualcosa che cambia in modo radicale il modo con cui guardiamo alla sicurezza del software. Anthropic racconta di aver ottenuto proprio questi risultati utilizzando una versione interna e non ancora pubblicata di Claude: il modello ha lavorato su browser, sistemi operativi e componenti di rete reali, producendo exploit verificabili e segnalazioni poi inviate ai rispettivi produttori.

Per decenni la ricerca delle vulnerabilità più complesse ha richiesto specialisti capaci di combinare reverse engineering, analisi della memoria, studio dei protocolli, fuzzing e conoscenza delle mitigazioni moderne. Gli strumenti automatici hanno sempre aiutato, ma raramente riuscivano a costruire autonomamente una catena completa.

Ora Anthropic sostiene che un modello possa affrontare buona parte del lavoro con un intervento umano limitato. Il dato più eloquente arriva da Chrome: secondo l’azienda, 62 falle di sicurezza individuate durante le attività di ricerca risultano già assegnate e corrette all’interno di Chrome 156, comprese 13 vulnerabilità utili per uscire dalla sandbox del browser e 21 potenzialmente sfruttabili per compromettere il processo renderer (quello incaricato di comporre tutti i componenti delle pagine Web sullo schermo).

Claude costruisce una catena completa contro Chrome

Anthropic descrive una catena di attacco “one-click”: alla vittima basta aprire una pagina malevola con Google Chrome per vedere aggredito il proprio sistema.

Claude avrebbe inizialmente scovato una vulnerabilità nel motore JavaScript V8 capace di provocare corruzione della memoria heap. Da sola, una falla del genere non basta per compromettere il sistema: Chrome applica più livelli di isolamento proprio per evitare che un problema nel renderer diventi immediatamente esecuzione di codice sul computer.

Il modello ha quindi cercato altri punti deboli. Una seconda vulnerabilità permetteva di oltrepassare le restrizioni della memoria imposte dalla sandbox di V8 e ricavare informazioni utili per neutralizzare ASLR (Address Space Layout Randomization), la protezione che rende imprevedibile la posizione del codice in memoria. A quel punto Claude ha costruito una catena ROP (Return-oriented programming), cioè una sequenza di frammenti di codice già presenti nel processo, ottenendo il controllo del renderer.

Restava però la sandbox del browser. Il modello ha trovato una race condition in CacheStorage con cui leggere memoria appartenente al processo privilegiato di Chrome; successivamente ha sfruttato un use-after-free in FedCM, il componente dedicato alla gestione dell’identità federata. La dimostrazione di Anthropic arriva fino all’avvio della Calcolatrice su macOS partendo da Chrome nella configurazione standard.

Google ha pubblicato Chrome 156 il 20 ottobre 2026: nel bollettino compaiono diverse vulnerabilità attribuite a ricercatori Anthropic con l’indicazione “assisted by Claude“; tra queste figurano problemi di memoria in componenti quali Accessibility, Date, ServiceWorker, DisplayLocking e PDF.

Safari cade senza eseguire codice arbitrario

Ancora più interessante è l’attacco preparato contro Safari. In questo caso, Claude non ha avuto bisogno della classica esecuzione di codice arbitrario: la catena descritta da Anthropic punta invece a manipolare dati e strutture interne fino a disattivare una delle regole fondamentali del Web: la Same-Origin Policy.

Tutto parte da un use-after-free in JavaScriptCore, il motore JavaScript di WebKit: determinate operazioni sui TypedArray potevano utilizzare puntatori ormai non validi e modificare i metadati delle strutture interessate. Safari dispone però di Gigacage, una tecnica che separa alcune aree di memoria per rendere più difficile trasformare una corruzione in una primitive di lettura e scrittura arbitraria.

Claude ha individuato un modo per sfruttare variabili presenti nella regione protetta come indici verso altre aree, superando di fatto il confine imposto da Gigacage. Un’altra falla nel meccanismo IPC della sandbox WebContent consentiva inoltre di raggiungere informazioni archiviate dal browser, comprese cronologia, cookie e database di sessione.

Alla fine il modello modifica direttamente in memoria i dati che governano l’applicazione della Same-Origin Policy: una pagina ostile può così leggere risorse appartenenti ad altri domini, incluse sessioni già autenticate.

Apple ha corretto vulnerabilità WebKit collegate alle ricerche di Anthropic; nei propri bollettini di sicurezza compare, tra le altre, CVE-2026-43715, attribuita ad alcuni ricercatori con la collaborazione di Claude.

Android: dal telefono bloccato ai file via USB

Il lavoro su Android combina tecniche diverse: analisi del codice open source, reverse engineering dei binari proprietari di Google Play Services e prove su un Pixel 9 fisico. L’obiettivo era estrarre foto e altri dati da un telefono senza conoscere il codice di sblocco.

Claude ha trovato una sequenza di debolezze nel trasferimento dispositivo-dispositivo: prima ha individuato una configurazione USB capace di aggirare il blocco dei trasferimenti normalmente applicato quando il telefono è chiuso. Poi ha identificato un percorso per superare il controllo che dovrebbe impedire a peer non autorizzati di iniziare la procedura di associazione.

La fase successiva riguarda il codice a 6 cifre che l’utente dovrebbe verificare durante il pairing: una falla consentiva di proseguire come se la conferma fosse già arrivata.

Infine, nonostante un controllo esplicito impedisse il trasferimento del contenuto dei file, un meccanismo alternativo permetteva di inviare byte grezzi tramite USB.

Concatenando i problemi, il modello di Anthropic è arrivato all’accesso ai dati senza sbloccare normalmente il dispositivo. Google ha corretto tutte le vulnerabilità segnalate.

Windows: pochi pacchetti HTTP/3 per mandare in crash un server

Il caso Windows segue una strada diversa perché Claude non disponeva del sorgente del sistema operativo.

Anthropic ha fornito una serie di file binari della piattaforma Microsoft e strumenti di reverse engineering come Ghidra, chiedendogli di ricostruire il funzionamento del componente, produrre una versione C e svolgere una serie di verifiche con gli eseguibili originale.

L’analisi ha portato alla scoperta della falla CVE-2026-33096, vulnerabilità poi corretta da Microsoft. Si tratta di una lettura fuori dai limiti nella gestione di QUIC da parte del driver HTTP.sys, raggiungibile da remoto attraverso richieste HTTP/3. Un aggressore non autenticato può inviare pochi pacchetti appositamente costruiti e provocare il crash della macchina; ripetendo l’operazione, il server può finire in una condizione di Denial of Service (DoS) persistente.

In questo caso non ci si trova dinanzi all’esecuzione remota di codice. Resta comunque un risultato significativo: il modello ha ricostruito il comportamento di un componente Windows proprietario, dei quali i sorgenti non sono disponibili, per individuare autonomamente una condizione sfruttabile via rete.

Linux: dalla race condition a una shell root senza credenziali

La dimostrazione più aggressiva riguarda Linux e Multipath TCP, estensione di TCP supportata dal kernel a partire dalla serie 5.6 e pensata per utilizzare più percorsi di rete all’interno della stessa connessione. Anthropic descrive CVE-2026-98432, una race condition che porta a un use-after-free nello stack di rete.

La catena di attacco procede in due fasi. Prima Claude sfrutta la race condition per far leggere al kernel più memoria del previsto. Tra i dati restituiti può comparire un indirizzo interno del kernel: informazione preziosa perché permette di capire dove si trova realmente il codice in memoria e quindi di aggirare KASLR (Kernel Address Space Layout Randomization), la protezione che ne randomizza la posizione.

Ottenuto quell’indirizzo, il bug viene sfruttato una seconda volta per corrompere una struttura del kernel e modificare un puntatore a callback, cioè l’indirizzo della funzione che il kernel eseguirà in seguito. Deviando quel puntatore verso dati preparati dall’attaccante, la catena può arrivare all’esecuzione di un comando con privilegi root.

L’exploit non riesce subito: nel proof of concept di Anthropic servono in media circa 48 minuti per ottenere l’indirizzo del kernel e altri 5 minuti per completare l’attacco. Il vantaggio per l’attaccante è che un tentativo fallito non manda in crash il sistema quindi si può riprovare molte volte.

L’AI riduce anche il tempo disponibile per correggere le vulnerabilità

La novità descritta da Anthropic sta soprattutto nella capacità di passare dall’indizio alla verifica e, nei casi migliori, alla costruzione di una catena completa. Un modello può esplorare ipotesi differenti, analizzare funzioni apparentemente scollegate, modificare l’approccio dopo un fallimento e utilizzare strumenti esterni.

Anthropic afferma che aumentando il calcolo disponibile durante l’esecuzione e facendo lavorare più agenti AI con obiettivi differenti cresce sensibilmente il numero di vulnerabilità trovate.

Alcuni agenti cercano difetti funzione per funzione; altri ragionano sulle possibilità di compromettere dati sensibili o violare il modello di sicurezza dichiarato dall’applicazione. Sulle vulnerabilità già confermate l’azienda applica poi una variant analysis automatizzata, cercando errori simili altrove nel codice.

Va osservato che se gli stessi strumenti diventano accessibili sia ai difensori che agli attaccanti, il tempo che separa la scoperta di una vulnerabilità dal possibile sviluppo di un exploit può ridursi drasticamente.

Non è che “Claude sa hackerare“: il fatto è che attività che richiedevano giorni o settimane di lavoro specialistico possono progressivamente comprimersi, moltiplicarsi e funzionare in parallelo. Per chi sviluppa browser, kernel, servizi di rete e software esposto a Internet significa una cosa molto semplice: trovare e correggere i bug prima che qualcuno possa sfruttarli diventa ancora più urgente.