Anthropic: نموذج Claude غير منشور اكتشف ثغرات حرجة في Chrome وSafari وAndroid وWindows وLinux
يقول فريق Frontier Red Team لدى Anthropic إن نموذجاً بحثياً داخلياً بنى خمس سلاسل هجوم عاملة ضد متصفحات وأنظمة تشغيل كبرى. أُبلغ عن كل النتائج وفق الإفصاح المنسّق؛ وجوجل وحدها أصلحت 62 ثغرة CVE في Chrome.
في 27 أكتوبر 2026 نشر فريق Frontier Red Team لدى Anthropic تقريراً عن استخدام نموذج بحثي داخلي غير منشور لاكتشاف ثغرات حرجة في متصفحات وأنظمة تشغيل واسعة الاستخدام وتحويلها إلى سلاسل هجوم عاملة «بقليل من تفاعل المستخدم أو بدونه». تقول الشركة إن كل مشكلة أُبلغت إلى الشركة المصنّعة وفق الإفصاح المنسّق عن الثغرات (90 يوماً للإصلاح، ثم 45 يوماً إضافية قبل مناقشة تفاصيل أوسع).
خمس سلاسل مُفصح عنها (بإيجاز)
- Chrome: سلسلة من عدة ثغرات قد تسمح بتشغيل شيفرة خارج صندوق الرمل بعد زيارة صفحة خبيثة. تقول Anthropic إن جوجل خصصت وأصلحت 62 CVE في Chrome 156 (حرجة أو عالية)، منها 13 هروباً من صندوق الرمل.
- Safari: سلسلة قد تتجاوز سياسة المصدر نفسه والوصول إلى بيانات مواقع أخرى حيث المستخدم مسجّل الدخول. تقول Anthropic إن آبل أصدرت إصلاحاً.
- Android: ثغرات متسلسلة سمحت في اختبار Anthropic على Pixel 9 مقفل بسحب بيانات شخصية عبر USB. تقول Anthropic إن جوجل عالجت المشكلة.
- Windows: خلل يمكن تفعيله عن بُعد في مكدس HTTP/3 (QUIC) الأصلي قد يُسقط خوادم مستمعة؛ خصصت مايكروسوفت CVE-2026-33096.
- Linux: حالة سباق في مسار multipath TCP تقول Anthropic إنها مكّنت تنفيذاً عن بُعد كـ root دون بيانات اعتماد؛ أُصلحت أعلى المنبع كـ CVE-2026-98432 وأُعيدت إلى النوى المدعومة.
السياق والحدود
تقدم Anthropic العمل كدليل على أن نماذج الطليعة باتت قادرة على اكتشاف عدة ثغرات ودمجها في استغلال مُتحقق منه بمساعدة بشرية محدودة، وتحث المدافعين على فحص شيفرتهم الخاصة (بما في ذلك عند طلبات الدمج). المنشور العام يصف النتائج ووضع الشركات المصنّعة؛ ولا ينشر وصفات هجوم خطوة بخطوة للغرباء. التفاصيل تحت الأرقام الرئيسية مأخوذة من إعلان Anthropic ولم تُعاد اختبارها هنا بشكل مستقل.