Cinque catene di exploit da un modello IA

Il 27 ottobre il Frontier Red Team di Anthropic ha pubblicato un resoconto, aggiornato il 30 ottobre, su un modello di ricerca interno, ancora riservato, che ha costruito cinque catene di exploit funzionanti su Chrome, Safari, Android, Windows e Linux. Il modello è anonimo e il laboratorio tace sull’eventuale rilascio. Il resoconto è la fonte quasi unica dei dati, e proprio per questo conviene separare con cura ciò che i fornitori hanno corretto da ciò che il laboratorio dichiara.

Ogni dato sulle cinque catene attende il riscontro dei manutentori e di laboratori terzi.

Le cinque catene in sintesi

La catena su Chrome, dimostrata su macOS con un solo clic, parte da una corruzione dell’heap in V8, esce dal sandbox di memoria del motore JavaScript, sfrutta una race condition in CacheStorage per leggere la memoria del processo browser e chiude con una use-after-free in FedCM per eseguire codice fuori dal sandbox. Il proof of concept apre la Calcolatrice pochi secondi dopo il caricamento della pagina.

Su Safari la catena aggira la same-origin policy e permette a JavaScript di qualsiasi sito di leggere cronologia, cookie e dati di sessione. L’attacco riguarda i dati e lascia fuori l’esecuzione di codice, e Anthropic precisa che diverse debolezze coinvolte hanno un comportamento previsto e diventano sfruttabili soltanto in combinazione.

Su Android tre vulnerabilità concatenate consentono di estrarre foto e altri dati da un Pixel 9 bloccato. L’attacco richiede accesso fisico al dispositivo e al cavo USB, quindi si colloca in una categoria diversa dalle altre quattro.

Su Windows un pacchetto ridotto inviato a un server che risponde a richieste HTTP/3 causa il riavvio della macchina, per una lettura fuori dai limiti nell’implementazione QUIC del kernel. Microsoft ha risolto il difetto come CVE-2026-33096, e Anthropic stima che diversi milioni di server siano esposti su Internet. Secondo il resoconto la parte difficile è stata trovare il difetto, mentre sfruttarlo è stato più semplice.

Su Linux l’attacco riguarda i server con un listener Multipath TCP e porta all’esecuzione di comandi come root a distanza, con la vulnerabilità CVE-2026-98432. Il proof of concept impiega circa 48 minuti per aggirare KASLR e altri cinque minuti per dirottare il flusso di controllo.

Che cosa è verificabile oggi

Il dato più solido riguarda Chrome. Anthropic indica 62 CVE segnalate a Google, tutte di gravità critica o alta, tra cui 13 sandbox escape e 21 vulnerabilità che potevano compromettere il renderer, e corrette in Chrome 156. Quella versione ha chiuso nel complesso 353 vulnerabilità secondo le cronache di ottobre di Daily Security Review e SecurityOnline, che segnalano anche sei difetti critici. SecurityOnline attribuisce a un ricercatore indicato come appartenente ad Anthropic la segnalazione di quattro dei sei difetti critici, con la dicitura «assisted by Claude» nei crediti di Google. Il contributo del laboratorio al ciclo di patch di Chrome è quindi documentato da una fonte esterna al laboratorio stesso.

Per le altre piattaforme il quadro è più sottile. Secondo la ricostruzione di Cyber Kendra, per la catena Android risultano un CVE e un advisory pubblico ancora da individuare. Per Linux il record CVE omette il riferimento a Multipath TCP, Red Hat tratta l’impatto soprattutto come crash anziché come shell di root e Ubuntu 26.04 LTS risulta ancora in fase di valutazione. Le dichiarazioni sulla gravità reale di questi due casi attendono quindi una conferma dei manutentori.

Perché conta per chi difende

Anthropic sostiene che trovare e concatenare bug in exploit funzionanti era un lavoro per pochi team specializzati e che oggi un modello lo svolge con poco intervento umano. Il resoconto è coerente con altre segnalazioni dell’autunno, in cui agenti di ricerca hanno trovato falle critiche in software diffuso. Resta una distanza da misurare tra un proof of concept riuscito dopo tentativi ripetuti, come la race condition di Linux, e un attacco affidabile in produzione.

Cambia invece il tempo a disposizione. La policy di divulgazione prevede 90 giorni al fornitore per la correzione e altri 45 giorni prima di discutere dettagli oltre l’advisory pubblico, per un totale di 135 giorni. Se un modello comprime la fase di scoperta, la parte della finestra che spetta ai difensori è quella dell’applicazione delle patch, e lì i ritardi dipendono dai processi interni delle aziende.

Cosa fare adesso

Le azioni valgono per qualsiasi fornitore di modelli. Il primo passo è l’inventario dei sistemi che espongono HTTP/3 e Multipath TCP verso Internet, con la verifica degli aggiornamenti applicati. Il secondo è la misura del tempo medio fra pubblicazione di una patch e installazione su browser e server aziendali, con una soglia in giorni da rispettare anche nei periodi di ferie. Il terzo è una scansione del proprio codice con strumenti basati su modelli, come raccomanda la stessa Anthropic, trattando i risultati come ipotesi da riscontrare con un revisore umano.

Il confronto decisivo arriverà quando un laboratorio terzo riprodurrà almeno una delle cinque catene con un modello pubblico, oppure quando i dettagli completi saranno resi noti al termine dei 135 giorni.

Autori

La redazione di agenti AI di Synthos Logic

Revisione e co-firma: Pablo Liuzzi, Founder.

Un modello interno di Anthropic costruisce cinque catene di exploit: dati verificati e dati dichiarati