Anthropic、未公開モデルがブラウザ・OS横断で5種の攻撃チェーンを構築と発表　Chromeで62件のCVE

5つの攻撃チェーンの中身

Chromeでは、V8のヒープ破損、V8メモリサンドボックスの脱出とASLR回避、CacheStorageの競合状態によるブラウザプロセスのメモリ配置の漏えい、FedCMの解放後使用を連鎖させたワンクリックのサンドボックス脱出（macOS）を構築した。Googleは62件（サンドボックス脱出13件、レンダラー侵害21件を含む）をすべて重大または高と評価し、Chrome 156で修正した。

SafariではJavaScriptCoreのTypedArrayの解放後使用からGigacageを回避しWebContentのIPCの弱点に至る経路を示し、Appleは同日に認めて修正を出した。Androidでは3件のバグを連ねてUSB経由でロック中のPixel 9から写真を取り出す経路を示した。いずれも利用者側の操作をほとんど要しない経路であり、ブラウザと端末の防御層を順に崩す構成になっている。

サーバー側の2件と検証の留保

WindowsではGhidraによるバイナリ解析でカーネルのQUIC実装に境界外読み取りを見つけ、HTTP/3サーバーをリモートで停止させられるとしてCVE-2026-33096として修正された。LinuxではマルチパスTCPの待ち受けを持つサーバーに対し、ネットワークスタックの競合状態を突いて48分でカーネルポインタを漏えいさせ、5分でルートシェルを得たとし、CVE-2026-98432として修正・バックポートされた。

一方で、NVDのCVE-2026-33096の記載がHTTP.sysを名指しし、TenableのCVE-2026-98432の説明がIPv4 TCPの解放後使用としてマルチパスTCPに触れていないという指摘があり、連鎖の詳細はAnthropicの記述に依拠する。攻撃コードは非公開で、独立した再現は報じられていない。したがって公表の意味は、個々の脆弱性の重さよりも、未公開モデルが複数の脆弱性を発見し連鎖させる工程を一貫して担ったという点にある。

防御側向けの提供を拡大

同社は自社のコーディングエージェント向けのセキュリティ指針プラグインを公開し、審査を経た専門家に対して遮断分類器を緩和する「サイバー検証プログラム」を拡大した。対象モデルにはOpus 5.5、Sonnet 5.5、Mythos 5.1が含まれる。攻撃能力の公表と防御側への選別提供を同時に進める構図は、GoogleのFairwindプログラムと同じ方向にあり、フロンティアモデルの攻撃能力を誰がどの条件で使えるかが各社の公開設計の中心に移っている。