Decine di vulnerabilità Chrome gravi, poi collegate tra loro in un exploit capace di uscire dalla sandbox del browser: è il risultato più vistoso di una ricerca pubblicata il 27 ottobre dal Frontier Red Team di Anthropic, che per alcuni mesi ha usato un modello di ricerca interno, non ancora rilasciato, della famiglia Claude per cercare falle in browser e sistemi operativi. Secondo l’azienda, le segnalazioni inviate a Google hanno portato a 62 CVE, tutte di gravità critica o alta, corrette a partire da Chrome 156. Lo stesso lavoro ha prodotto exploit dimostrativi anche per Safari, Android, Windows e Linux. Tutte le falle descritte, spiega Anthropic, sono state segnalate ai produttori e risultano già corrette.
Le vulnerabilità Chrome concatenate da Claude
Nel caso di Chrome, Anthropic racconta che Claude, dopo un prompt iniziale, ha scritto una catena completa di exploit che permette di eseguire codice arbitrario con i privilegi dell’utente, fuori dalla sandbox del browser. La prova di concetto apre l’app Calcolatrice su un Mac con Chrome in configurazione standard pochi secondi dopo il caricamento della pagina, senza altre interazioni.
La catena usa quattro falle distinte: una corruzione di memoria nel motore JavaScript V8 provocata da una pagina malevola; un secondo bug per uscire dalla sandbox di memoria di V8 e aggirare l’ASLR, prendendo il controllo del processo di rendering; una race condition in CacheStorage per leggere la memoria del processo principale del browser; infine un use-after-free in FedCM, la funzione di accesso federato di Chrome, che consente di eseguire codice fuori dalla sandbox. Tra le 62 CVE, secondo Anthropic, ci sono 13 fughe dalla sandbox e 21 vulnerabilità sfruttabili per compromettere il renderer.
Il bollettino di Google del 27 ottobre, che aggiorna il canale stabile di Chrome alla versione 156.0.8078.73/.74 per Windows e Mac e 156.0.8078.73 per Linux, contiene 52 correzioni di sicurezza. Diverse sono attribuite a Xinyang Ge di Anthropic «assisted by Claude», tra cui due falle critiche nei componenti FileSystem (CVE-2026-118306) e FileAPI (CVE-2026-118331). La stessa versione è arrivata anche su Android.
Safari, Android, Windows e Linux: le altre catene
Le altre quattro catene descritte da Anthropic riguardano piattaforme diverse:
- Safari: un exploit che, visitando una pagina malevola, permette di aggirare la same-origin policy e leggere cronologia, cookie e dati di altri siti su cui l’utente ha effettuato l’accesso. Secondo The Hacker News, Apple ha corretto il bug principale con iOS e iPadOS 26.5.2.
- Android: un aggiramento della schermata di blocco che, con accesso fisico al telefono via USB, consente di estrarre foto e altri dati personali. Il test è stato condotto su un Pixel 9 e Anthropic afferma che Google ha risolto il problema.
- Windows: un denial of service remoto contro le macchine che rispondono a richieste HTTP/3 con l’implementazione nativa di Windows, tracciato come CVE-2026-33096 e già corretto da Microsoft. Anthropic stima che i server esposti possano essere diversi milioni.
- Linux: un’esecuzione di comandi come root senza credenziali né interazione dell’utente sui server con un listener multipath TCP, legata a CVE-2026-98432, corretta upstream e portata su tutti i rami stabili del kernel ancora supportati.
Cosa resta da verificare
The Hacker News sottolinea che gli exploit sono stati costruiti in laboratorio e non risultano usati in attacchi reali. Le correzioni e i crediti assegnati da Google e Apple sono verificabili nei bollettini dei produttori, mentre la quota di lavoro svolta autonomamente dal modello resta un’affermazione di Anthropic: l’azienda parla di «initial prompting» e di poco intervento umano, ma non dettaglia cosa abbiano fatto le persone a ogni passaggio. La testata nota inoltre che, per le falle di Windows e Linux, le schede pubbliche delle CVE descrivono i componenti in modo diverso da Anthropic.
Il tema non è nuovo per chi segue il settore: sempre ricercatori di Anthropic, insieme a Google, hanno scoperto di recente una grave vulnerabilità UEFI nel boot PXE di EDK II, mentre l’azienda stessa è stata oggetto di un test in cui gli agenti AI di Cathedral sono entrati nei suoi sistemi interni. Anthropic sostiene che i modelli più avanzati sappiano ormai combinare più vulnerabilità in un exploit funzionante, un lavoro finora riservato a pochi team specializzati.
Come proteggersi: aggiornare browser e sistemi
Visto che tutte le falle descritte risultano corrette, la difesa principale è applicare gli aggiornamenti già disponibili:
- Su computer, aprire il menu di Chrome, poi Guida e Informazioni su Google Chrome, verificare di avere almeno la versione 156.0.8078.73 e riavviare il browser per completare l’installazione.
- Su Android, aggiornare Chrome dal Play Store e installare gli aggiornamenti di sistema e di Google Play disponibili.
- Su iPhone e iPad, controllare in Impostazioni > Generali > Aggiornamento software di avere installato l’ultima versione di iOS o iPadOS.
- Gli amministratori di server Linux dovrebbero aggiornare il kernel alle versioni stabili che includono la correzione di CVE-2026-98432, mentre su Windows va verificata la presenza delle patch che risolvono CVE-2026-33096.
- Le aziende che sviluppano software possono valutare strumenti di analisi automatica del codice: Anthropic consiglia di effettuare le scansioni già al momento delle pull request.
Fonti: https://www.anthropic.com/research/discovering-vulnerabilities-with-claude, https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_0562499947.html, https://chromereleases.googleblog.com/2026/10/chrome-for-android-update_0160078013.html, https://thehackernews.com/2026/10/anthropics-unreleased-ai-model-chains.html
