Anthropic’in yayımlanmamış Claude modeli beş büyük platform için çalışan saldırı zincirleri kurdu

Beş platform, beş saldırı zinciri

Anthropic’in Frontier Red Team ekibi 27 Ekim’de, henüz yayımlanmamış bir Claude modelinin gerçek dünyadaki kritik yazılımlarda açık bulup bunları çalışan saldırı zincirlerine dönüştürdüğünü açıkladı. Raporu Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf ve Luna Tong yazdı. Şirket modelin adını vermiyor; yalnızca “yayımlanmamış, dahili bir araştırma modeli” diyor.

Anthropic’e göre model beş zincirin hepsinde ilk yönlendirmeden sonra işi büyük ölçüde kendi başına yürüttü. Rapordaki zincirler Chrome, Safari, Android, Windows ve Linux’u kapsıyor. Saldırılar laboratuvar ortamında yapıldı ve gerçek bir saldırıda kullanıldığı bilinmiyor.

Xinyang Ge@aegiryy

bu blog, claude'un bulduğu en kötü hatalardan bazılarını gösteriyor; aralarında linux ağ yığınında, kimlik bilgisi ya da etkileşim gerekmeden bir sunucuyu ağ üzerinden root'layan sıfır tıklı bir rce ve chrome'da onlarca tam rce zinciri var (aşağıdaki kayıt blogdaki zincir): anthropic.com/research/disco…

İngilizceden çevrildi·Orijinalini göster

Chrome: tek tıkla korumalı alanın dışına

Chrome zinciri dört hatayı birleştiriyor: V8’de bellek bozulması, V8’in bellek korumalı alanından kaçış ve adres rastgeleleştirmesinin (ASLR) aşılması, CacheStorage’da bir yarış durumu ve FedCM’de serbest bırakılmış belleğin kullanılması (use-after-free). Sonuçta saldırgan, tarayıcının korumalı alanının dışında kullanıcı yetkisiyle kod çalıştırabiliyor. Kanıt kodu, standart bir Mac’teki Chrome’da sayfa yüklendikten saniyeler sonra Hesap Makinesi’ni açıyor.

Anthropic’e göre Claude’un Chrome’da bulduğu açıklar için 62 CVE kaydı açıldı. Hepsi kritik ya da yüksek önemde; 13’ü korumalı alandan kaçış, 21’i işleyici sürecinin ele geçirilmesiyle ilgili. Açıklar Chrome 156’da kapatıldı.

Safari ve Android: veri hırsızlığı

Safari zinciri de dört adımdan oluşuyor: JavaScriptCore’da serbest bırakılmış belleğin kullanılması, Gigacage korumasından kaçış, WebContent korumalı alanındaki bir süreçler arası iletişim (IPC) hatası ve aynı köken politikasını kapatan bir değişkenin üzerine yazılması. Zincir kod çalıştırmıyor; tek tıkla, herhangi bir sitenin JavaScript’inden Safari geçmişine, çerezlere ve oturum veritabanlarına erişip başka alan adlarına kimliği doğrulanmış istek gönderilebiliyor. Apple raporu gönderildiği gün kabul etti ve düzeltmeyi yayımladı.

Android zinciri, çalınmış ve kilitli bir Google Pixel 9’dan USB üzerinden fotoğraf ve kişisel bilgi çekilmesini sağlıyor. Model bunun için açık kaynak Android kodunu inceledi, Google Play hizmetlerinin ikili dosyalarını tersine mühendislikle çözdü ve fiziksel bir Pixel 9 üzerinde canlı test yaptı. Anthropic’e göre zincirde üç hata birleşiyor; Google açığı kapattı.

Windows ve Linux: uzaktan çökertme ve sıfır tıkla root

Windows açığı, çekirdekteki QUIC uygulamasında bir sınır dışı okuma hatası (CVE-2026-33096). Yerleşik uygulamayla HTTP/3 isteklerine yanıt veren her Windows makinesi uzaktan çökertilebiliyor; tekrarlanan paketlerle bir sunucu sürekli kapalı tutulabiliyor. Yazarlar bu durumdaki sunucu sayısını “birkaç milyon” olarak tahmin ediyor. Claude çalıştırılabilir dosyayı Ghidra gibi araçlarla tersine mühendislikle inceledi. Microsoft açığı doğrudan bildirimden sonra kapattı.

En ağır bulgu Linux’ta. Multipath TCP dinleyicisi olan sunucularda, kimlik doğrulaması ve hiçbir kullanıcı etkileşimi gerektirmeden uzaktan root yetkisiyle komut çalıştırılabiliyor (CVE-2026-98432). Tek bir yarış kaynaklı use-after-free hatası iki aşamada kullanılıyor: önce çekirdeğin adres rastgeleleştirmesi (KASLR) aşılıyor, sonra bir geri çağırma işaretçisi üzerinden kontrol akışı ele geçiriliyor. Bir çekirdek işaretçisini sızdırmak 48 dakika, root kabuğuna ulaşmak 5 dakika daha sürdü. Yarış kaybedilirse yalnızca bağlantı el sıkışması başarısız olduğu için saldırgan sınırsız deneyebiliyor. Açık ana dalda düzeltildi ve desteği süren bütün kararlı çekirdek dallarına aktarıldı.

Tepkiler ve bir düzeltme

Güvenlik şirketi Zellic’in kurucusu cts (@gf_256), sonuçları “neredeyse hiç yönlendirme olmadan” bulunmuş diye özetledi ve yönlendirmenin “lütfen RCE yap” kadar az olduğunu yazdı. Gönderi Safari zincirini de uzaktan kod çalıştırma olarak sayıyor; Anthropic’in raporuna göre ise Safari saldırısı kod çalıştırmıyor, veriye erişiyor.

cts🌸@gf_256

Claude neredeyse hiç yönlendirme olmadan şunları buldu:

- Linux çekirdeğinde sıfır tıkla "paketten root'a" uzaktan kod çalıştırma (!!!!!)
- Chrome'da tek tıkla uzaktan kod çalıştırma
- Safari'de tek tıkla uzaktan kod çalıştırma
- Windows çekirdeğinde uzaktan hizmet dışı bırakma
- Android kilit ekranını atlatma

Tamamen çalışan, uçtan uca istismarlar. Yönlendirme "lütfen RCE yap" kadar azdı

İngilizceden çevrildi·Orijinalini göster

Xinyang Ge @aegiryy

this blog shows some of the worst bugs claude found, including a zero-click rce on the linux networking stack that roots a server over the network with no creds or interaction, and tens of full rce chains in chrome (recording below is the one in the blog): anthropic.com/research/disco…

The Hacker News, Windows ve Linux için verilen CVE kayıtlarının açıklamalarının Anthropic’in tarifiyle tam örtüşmediğini not etti: Windows kaydı HTTP.sys’ten söz ediyor ve kimseye atıf yapmıyor, Linux kaydı ise IPv4 TCP diyor.

İfşa politikası ve savunmacılara tavsiye

Anthropic açıkları koordineli ifşa politikasıyla bildiriyor: yama için 90 gün, kamuya açık uyarının ötesindeki ayrıntıları paylaşmak için 45 gün daha bekleniyor. Şirkete göre öncü modeller artık birden çok açığı birleştirip “herkesin çalıştırıp doğrulayabileceği” istismarlar üretebiliyor. Eskiden birkaç uzman ekibin işi olan istismar geliştirme, artık az insan müdahalesiyle yapılabiliyor.

Anthropic’in savunmacılara tavsiyesi, kendi kodlarını taramalarının her zamankinden daha önemli olduğu. Şirket, mevcut açık birikimini kapatmanın sorunun yalnızca yarısı olduğunu, yeni açıkların kod incelemesi aşamasında önlenmesi gerektiğini söylüyor. Doğrulanmış güvenlik uzmanları, gelişmiş siber yeteneklere ve daha az engelleyici sınıflandırıcıya Cyber Verification Program üzerinden erişebiliyor. Aynı hafta Google da en güçlü modeli Gemini 4 Carbon’u ilk olarak siber savunuculara açtı.