Експериментален AI модел на Anthropic самостоятелно е открил уязвимости в браузърите Google Chrome, Safari и в операцонните системи Android, Windows и Linux и ги е обединил в работещи инструменти за проникване. По време на тестовете Claude е успял да изпълни чужд код извън браузъра, да извлече данни от заключен смартфон и да изпълни команди с администраторски права на Linux сървър.
Както съобщиха изследователите от Anthropic, за експериментите е била използвана вътрешна версия на Claude, която все още не е достъпна за потребителите. Специалистите са давали на AI модела първоначални задачи, след което той е анализирал програмния код, търсел е уязвимости и е съставял вериги от експлойти. Разработчиците представиха пет сценария за атаки, при които няколко уязвимости са били използвани последователно за заобикаляне на защитните механизми.
В Google Chrome моделът откри четири уязвимости, които в комбинация са позволили излизане извън изолираната среда на браузъра. Първо Claude е открил уязвимост в JavaScript V8 енджина, след което е заобиколил ограниченията за достъп до паметта и е получил контрол над процеса на обработка на уеб страниците. Следващите етапи са използвали уязвимости в CacheStorage и механизма за авторизация FedCM. По време на демонстрацията специално подготвена страница за няколко секунди стартира приложението „Калкулатор“ на компютър с macOS без никакви действия от страна на потребителя. Anthropic съобщи на Google за общо 62 уязвимости с висока и критична степен на опасност, включително 13 начина за излизане от пясъчника на браузъра. Поправките бяха включени в Chrome 156.
В Safari Claude откри възможност за заобикаляне на политиката за един и същ източник (Same-Origin Policy), която забранява на един сайт да получава данни от друг. За целта AI асистентът комбинира няколко уязвимости в ядрото JavaScriptCore и механизмите за изолация на браузъра. Експлойтът позволи четене на историята на посещенията, „бисквитките“ и съдържанието на страниците, на които потребителят вече се е авторизирал. Например, злонамерен сайт можеше да получи достъп до електронна поща или информация за банкова сметка. Apple отстрани откритите проблеми.
Отделни тестове бяха проведени на смартфона Google Pixel 9. Claude проучи отворения код на Android, анализира компонентите на Google Play Services и намери начин да заобиколи защитата при пренос на данни през USB. За атаката е бил необходим физически достъп до устройството, но собственикът не е трябвало да отключва екрана или да потвърждава свързването. Подготвеният от AI експлойт позволяваше копирането на снимки и други лични файлове. Според информация от Anthropic, Google вече е отстранила откритите уязвимости.
В Windows AI моделът откри уязвимост, свързана с обработката на мрежови HTTP/3 заявки. Изпращането на специално подготвени пакети можеше да предизвика аварийно прекратяване на работата на сървъра, а повторението на атаката – да попречи на възстановяването на достъпността му. Microsoft пусна корекция.
В Linux Claude разработи по-сложен експлойт за сървъри, използващи Multipath TCP. Той позволяваше отдалечено изпълнение на команди с root права без предварителна авторизация. В един от тестовете за получаване на адрес в паметта на ядрото бяха необходими 48 минути, а още 5 минути отне изпълнението на командата. Тази уязвимост също е отстранена.
Всички описани атаки са били проведени в изследователска среда, а информацията за откритите грешки е била предадена на разработчиците на софтуера. Anthropic не е разкрила името и характеристиките на използвания експериментален AI модел. Въз основа на публикуваните материали е невъзможно да се установи независимо степента на човешко участие в създаването на всеки експлойт. В компанията смятат, че подобни възможности на изкуствения интелект ще помогнат на специалистите да откриват по-бързо опасни уязвимости, въпреки че те могат да се окажат полезни и за злонамерени лица.
Седмица по-рано, с помощта на Claude специалистите от Anthropic провериха 25 големи проекта с отворен код и откриха почти 500 проблема, свързани със сигурността. Сред откритията се оказа уязвимост в конфигурацията, която е останала незабелязана в продължение на цели 21 години.