Claude non rilasciato costruisce exploit per Chrome, Safari e Linux

Anthropic ha pubblicato i risultati di una ricerca del suo Frontier Red Team che fa discutere chi si occupa di sicurezza informatica: un modello di ricerca interno, mai rilasciato al pubblico, ha costruito exploit funzionanti che concatenano più vulnerabilità su Chrome, Safari, Android, Windows e Linux. Secondo l’azienda, il lavoro ha richiesto soltanto un prompt iniziale e pochissimo intervento umano.

Non è un annuncio di prodotto, ma un segnale su quanto sia diventata concreta la capacità dei modelli di trovare e sfruttare falle reali. Vediamo cosa è stato dimostrato, cosa è già stato corretto e cosa devi fare tu.

Cosa ha dimostrato il Frontier Red Team di Anthropic

Nel post di ricerca pubblicato da Anthropic, il modello non viene nominato: l’azienda parla solo di un modello interno di ricerca, utilizzato nel corso degli ultimi mesi. Il punto centrale è che non si tratta di una singola falla scovata in un software, ma di catene di exploit complete, cioè sequenze di bug collegati tra loro in modo che ciascuno apra la strada al successivo.

Questo passaggio è la parte più delicata. Trovare un errore isolato è un conto, trasformarlo in un attacco che funziona su un sistema aggiornato è un altro, e richiede di capire come più componenti interagiscono.

Le cinque catene riguardano piattaforme diverse e raccontano scenari di attacco molto differenti. Anthropic precisa che si tratta di test di laboratorio e che non sono stati segnalati attacchi reali basati su questi risultati.

Chrome: quattro bug in sequenza

Su Chrome per macOS il modello ha collegato quattro difetti: un problema nel motore V8, una fuga dalla sandbox, una condizione di corsa nella CacheStorage e un use-after-free in FedCM. Il risultato, partendo dalla semplice visita a una pagina, è l’esecuzione di codice fuori dalla sandbox del browser. La dimostrazione pubblica è volutamente innocua, con l’apertura della Calcolatrice sul sistema.

Google ha corretto i problemi in Chrome 156, rilasciato il 20 ottobre. Secondo quanto riportato dalla stampa specializzata, Anthropic ha segnalato a Google 62 vulnerabilità a cui sono stati assegnati identificativi CVE, tutte valutate critiche o ad alta gravità, tra cui 13 fughe dalla sandbox.

Safari, Android e Windows

Su Safari la catena non arriva all’esecuzione di codice: ottiene però accesso completo in lettura e scrittura alla memoria del browser e disattiva la same-origin policy, la regola che impedisce a un sito di leggere i dati di un altro. In pratica una pagina malevola potrebbe leggere informazioni provenienti da altri siti. Apple ha risolto con iOS e iPadOS 26.5.2, uscito il 29 giugno.

Su Android l’exploit permette di copiare dati da un telefono bloccato e rubato, ma richiede l’accesso fisico via USB. Anthropic afferma che Google ha già corretto il problema, anche se non risultano registri pubblici facili da verificare.

Su Windows la catena provoca un denial of service di rete: l’invio ripetuto di pacchetti manda in crash la macchina. Anthropic descrive una lettura fuori dai limiti nella gestione QUIC del kernel, ma il CVE collegato (CVE-2026-33096, gravità 7,5, corretto ad aprile) cita HTTP.sys e non indica chi l’abbia scoperto, quindi alcuni dettagli non combaciano del tutto.

La catena Linux e il tema dei tempi

È probabilmente il risultato più impressionante. Su server Linux con un listener multipath TCP, la catena consente di eseguire comandi come root via rete, senza alcun login. Il modello prima ottiene la fuga di un indirizzo del kernel per aggirare il KASLR, e il passaggio richiede circa 48 minuti. Poi sfrutta una race condition per arrivare a una shell di root in circa altri cinque minuti.

I tentativi falliti non mandano in crash il sistema, quindi un attaccante potrebbe riprovare più volte. La vulnerabilità è collegata al CVE-2026-98432, valutato 9,8 e corretto a monte il 15 ottobre, anche se le descrizioni pubbliche di quel CVE parlano di una correzione sul TCP IPv4 e non di multipath TCP.

Il dato sui tempi conta più del singolo bug. Minuti di calcolo al posto di settimane di lavoro di un ricercatore esperto cambiano l’economia dell’attacco.

Perché questa ricerca è importante

La tesi di Anthropic è che i modelli possano ormai trovare e dimostrare vulnerabilità con poco aiuto umano. Se è vero, il vantaggio storico dei difensori, che avevano il tempo di correggere prima che i dettagli diventassero sfruttabili, si assottiglia. Per questo l’azienda ha scelto la divulgazione coordinata: 90 giorni ai produttori per correggere e altri 45 prima di discutere dettagli oltre l’avviso pubblico.

Questo tema si inserisce in un filone che il sito segue da settimane. Abbiamo raccontato, per esempio, l’exploit completo di Chrome costruito da XBOW con GPT-5.6, e il programma con cui Anthropic regola l’accesso a funzioni di sicurezza avanzate per i professionisti verificati. Il quadro che emerge è coerente: la ricerca offensiva assistita dall’AI non è più un esperimento.

Il rovescio della medaglia è la prudenza. Le cifre sul grado di autonomia del modello sono dichiarazioni di Anthropic e, al momento, non esiste una riproduzione indipendente. Anche la corrispondenza tra alcuni bug e i relativi record CVE non è del tutto verificabile dall’esterno. Conviene quindi leggere il risultato per ciò che è: un dato serio, ma ancora in attesa di conferme.

Cosa significa per difensori e sviluppatori

Anthropic indirizza i team di sicurezza verso il suo Cyber Verification Program, che dà a professionisti verificati accesso a Claude Opus 5.5, Sonnet 5.5 e Mythos 5.1. Sul lato difensivo, la Cyber Mission dedicata alle infrastrutture critiche mostra la stessa direzione: usare i modelli per trovare i problemi prima degli attaccanti.

La lezione pratica, per chi sviluppa, è smettere di affidarsi a un solo scanner. Meglio affiancare più strumenti di analisi con approcci diversi e far girare i controlli a ogni pull request, così che un difetto non resti nascosto fino al rilascio.

Anche gli agenti AI vanno trattati con cautela. Chi li usa in produzione dovrebbe limitare ciò che possono eseguire, un tema che avevamo già toccato quando Anthropic ha ammesso azioni non volute di Claude durante i test.

Il limite dei dati disponibili

Vale la pena sottolineare che l’intero racconto arriva da Anthropic e dalle ricostruzioni di chi ha letto il post. I crediti pubblici di Google e Apple, che citano ricercatori dell’azienda affiancati da Claude, confermano che parte delle correzioni esiste davvero, ma non coprono tutte le 62 vulnerabilità di Chrome.

Il modello non è accessibile e non ne sono noti nome, dimensioni o costo di esecuzione. Senza questi elementi, nessuno può stimare quanto questo livello di capacità sia vicino a diventare un prodotto disponibile a tutti, né quanto costi replicarlo.

È un buon motivo per restare attenti, senza cedere né al catastrofismo né alla sottovalutazione.

Cosa fare adesso

Se sei un utente comune, le azioni sono semplici e immediate. Aggiorna Chrome alla versione 156 o successiva, installa gli aggiornamenti di iOS, macOS, Android e Windows non appena disponibili e attiva gli aggiornamenti automatici. Se perdi un telefono Android, trattalo come compromesso finché non è aggiornato.

Se gestisci server, verifica di avere un kernel Linux con la correzione upstream del CVE-2026-98432, oppure disattiva i listener multipath TCP che non ti servono. Sui server Windows che espongono HTTP/3, controlla di aver installato l’aggiornamento relativo al CVE-2026-33096.

Conclusioni

La ricerca del Frontier Red Team non dice che domani qualcuno attaccherà il tuo computer con un modello AI. Dice che la distanza tra scoprire una falla e trasformarla in un attacco funzionante si sta accorciando, e che i tempi di risposta devono accorciarsi di pari passo.

Aggiorna oggi i tuoi dispositivi, rivedi i processi di patching e segui il nostro sito per i prossimi sviluppi: ti aggiorneremo appena arriveranno verifiche indipendenti o nuovi dettagli da Anthropic e dai produttori coinvolti.