Anthropic: un modello IA inedito trova exploit funzionanti in Chrome, Safari, Android, Windows e Linux

Un modello di intelligenza artificiale non ancora rilasciato da Anthropic è riuscito a individuare e combinare diverse vulnerabilità di sicurezza in alcuni dei software più diffusi al mondo, arrivando a generare exploit funzionanti in grado di compromettere browser e sistemi operativi con un intervento minimo o nullo da parte dell’utente. I risultati, descritti dal Frontier Red Team dell’azienda in una ricerca pubblicata nelle ultime ore, riguardano Google Chrome, Apple Safari, Android, Windows e Linux.

Il lavoro si inserisce nel dibattito sulle capacità dei modelli IA più avanzati nel campo della sicurezza informatica. Non si tratta soltanto di individuare singoli bug, ma di riuscire a collegare più vulnerabilità indipendenti per costruire una catena di attacco utilizzabile concretamente. Anthropic sostiene che capacità di questo tipo, fino a oggi appannaggio di pochi gruppi specializzati, possano ormai essere sfruttate con un coinvolgimento umano limitato.

L’azienda precisa di aver segnalato tutte le vulnerabilità ai rispettivi sviluppatori, che hanno provveduto a correggerle. Gli exploit descritti sono stati realizzati in ambiente di ricerca e non risultano collegati ad attacchi informatici realmente avvenuti. Rimangono però alcuni aspetti da chiarire, soprattutto per quanto riguarda il contributo umano durante la costruzione delle catene di exploit: Anthropic non ha infatti reso pubblico il nome del modello utilizzato né ha descritto nel dettaglio ogni fase del lavoro.

Segui TuttoTech.net su Google Discover

Da Chrome a Safari: come l’IA ha costruito exploit complessi

Uno degli esempi più significativi riguarda Google Chrome, secondo quanto riportato da Anthropic, dopo alcune indicazioni iniziali il modello è riuscito a costruire una catena composta da quattro vulnerabilità, con l’obbiettivo di eseguire codice al di fuori della sandbox del browser, cioè dell’ambiente isolato che limita i danni provocati da una pagina web compromessa.

La dimostrazione pratica è particolarmente interessante: su un Mac con una configurazione standard di Chrome, il caricamento di una pagina appositamente preparata ha consentito di avviare l’applicazione Calcolatrice in pochi secondi, senza ulteriori clic da parte dell’utente.

Il percorso ha coinvolto V8, il motore JavaScript di Chrome, una vulnerabilità che consentiva di superare una protezione della memoria, una condizione di gara in CacheStorage e un bug di tipo use-after-free nella funzionalità FedCM, utilizzata per l’accesso federato. Combinando queste falle, il modello ha ottenuto la possibilità di eseguire codice al di fuori della sandbox.

Anthropic afferma di aver segnalato a Google le vulnerabilità individuate durante il lavoro, a partire da Chrome 156, secondo l’azienda, sono stati assegnati e corretti 62 identificativi CVE, tutti classificati con gravità alta o critica; tra questi, 13 riguardano vulnerabilità che permettevano di aggirare la sandbox, mentre altre 21 avrebbero potuto consentire la compromissione del processo di rendering.

Anche Safari è stato interessato da una catena di vulnerabilità, ma con un approccio differente. In questo caso, l’exploit non richiedeva l’esecuzione di codice arbitrario: sfruttava invece diversi problemi per ottenere accesso in lettura e scrittura alla memoria del browser e disattivare la same-origin policy, una protezione fondamentale che impedisce a un sito web di leggere i dati appartenenti a un altro dominio.

Una volta aggirato questo meccanismo, una pagina malevola avrebbe potuto accedere alla cronologia, ai cookie e ad altri dati sensibili di Safari, oltre a leggere le risposte di richieste autenticate verso altri siti. In uno scenario del genere, per esempio, potrebbero essere esposte informazioni presenti nella casella di posta elettronica o relative a un conto bancario sul quale l’utente ha già effettuato l’accesso.

Apple ha preso in carico la segnalazione e ha implementato una correzione, già resa disponibile agli utenti. La ricerca mostra quindi come una combinazione di vulnerabilità possa compromettere protezioni progettate per mantenere separati i dati dei diversi siti, anche senza ricorrere alla tradizionale esecuzione di codice.

Android, Windows e Linux: impatti diversi, dalla fuga di dati ai privilegi di root

Il terzo caso riguarda Android e la possibilità di estrarre foto e altre informazioni personali da uno smartphone rubato senza sbloccarlo. Per costruire l’exploit, il modello ha combinato l’analisi del codice sorgente delle componenti open source, il reverse engineering dei binari dei servizi Google Play e test effettuati su un Google Pixel 9 fisico.

La catena sfruttava tre vulnerabilità per aggirare diversi livelli di protezione di trasferimento dei dati, in particolare, il modello ha individuato un modo per superare i controlli relativi alla connessione USB, aggirare l’autorizzazione necessaria per avviare l’associazione tra dispositivi e saltare la verifica del codice a sei cifre. Un ulteriore meccanismo permetteva infine di trasferire dati grezzi attraverso USB, eludendo un controllo previsto per impedire questo tipo di operazione. Anthropic afferma che Google ha già affrontato il problema, la ricerca non fornisce tuttavia ulteriori dettagli pubblici sulle correzioni implementate.

Su Windows, invece, il risultato riguarda un attacco di tipo deny of service, che non consente di sottrarre dati o eseguire codice sul sistema, ma può provocare il blocco del computer o del server preso di mira. Il modello ha individuato una vulnerabilità nella gestione di QUIC all’interno del kernel di Windows, sfruttabile da remoto attraverso pacchetti di rete appositamente costruiti.

Un sistema che risponde alle richieste HTTP/3 mediante l’implementazione nativa di Windows potrebbe essere mandato in crash e riavviato. Ripetendo l’operazione, un attaccante potrebbe interrompere continuamente il servizio, impedendo agli altri utenti di accedervi. Anthropic stima che esistano probabilmente diversi milioni di server di questo tipo esposti su Internet.

La vulnerabilità è stata segnalata a Microsoft, che l’ha corretta assegnandole l’identificativo CVE-2026-33096. Secondo Anthropic, il modello è riuscito a individuarla attraverso l’analisi binaria: partendo da una copia dell’eseguibile di Windows, ha ricostruito il funzionamento delle parti rilevanti del software, confrontando il risultato con il comportamento originale e cercato i punti deboli con il maggiore potenziale di rischio.

Il caso più delicato per impatto è però quello relativo a Linux. La vulnerabilità individuata nello stack di rete del kernel può consentire a un attaccante remoto di eseguire comandi con privilegi di root, senza credenziali e senza alcuna interazione da parte dell’utente; l’unica condizione indicata è che il server di destinazione disponga di un listener TCP multipath.

L’exploit si sviluppa in due fasi: inizialmente, sfrutta una condizione di gara per ottenere informazioni sulla memoria del kernel e aggirare una protezione chiamata KASLR, che rende più difficile prevedere gli indirizzi utilizzati dal sistema; successivamente, sfrutta la stessa vulnerabilità per modificare il flusso di esecuzione del kernel e raggiungere un comando predisposto dall’attaccante, che viene eseguito con privilegi di root.

I tempi riportati da Anthropic aiutano a comprendere  la portata della dimostrazione, 48 minuti per ottenere le informazioni necessarie sulla memoria e altri cinque minuti per arrivare all’esecuzione di un comando con privilegi di root. Inoltre, un tentativo fallito non provoca necessariamente il crash del sistema, consentendo di riprovare senza interrompere il server. La vulnerabilità, identificata come CVE-2026-98432, è stata corretta a monte e la correzione è stata retroportata ai rami stabili del kernel ancora mantenuti.

Cosa cambia per la sicurezza informatica

La ricerca di Anthropic non si limita a elencare vulnerabilità scoperte, ma punta a evidenziare un cambiamento nel modo in cui possono essere condotte le attività di analisi e sfruttamento del software. Il modello non si è fermato all’individuazione dei singoli problemi, in diversi casi è riuscito a combinarli, superando più livelli di protezione fino a ottenere risultati verificabili attraverso exploit funzionanti.

L’azienda sottolinea inoltre l’importanza di utilizzare più scanner in parallelo, adottare strategie di ricerca differenti e verificare sistematicamente i risultati prima di considerarli vulnerabilità reali. Un altro aspetto riguarda la prevenzione: correggere le falle già note non basta se nuove vulnerabilità continuano a entrare nel codice. Per questo Anthropic raccomanda di integrare le verifiche di sicurezza già durante lo sviluppo, per esempio al momento delle pull request.

Naturalmente, i risultati vanno letti tenendo conto dei limiti della documentazione pubblicata. Anthropic sostiene che il modello abbia lavorato con un coinvolgimento umano minimo, ma non ha descritto nel dettaglio il contributo delle persone in ogni passaggio. La ricerca costituisce quindi una dimostrazione delle capacità che l’azienda attribuisce al proprio modello, senza consentire una verifica indipendente completa di tutte le fasi del processo.

Per aiutare chi si occupa di difesa informatica, Anthropic ha inoltre ampliato il proprio programma di verifica cibernetica, offrendo ai professionisti qualificati accesso a modelli avanzati e a funzionalità dedicate alla sicurezza. L’obbiettivo dichiarato è mettere i difensori nelle condizioni di individuare e correggere le falle prima che possano essere sfruttate da eventuali aggressori.

Il punto centrale è che l’intelligenza artificiale può ridurre il lavoro necessario per trasformare vulnerabilità isolate in attacchi concreti, rendendo più importante individuare e correggere tempestivamente i problemi. Nel caso descritto da Anthropic, le vulnerabilità sono state segnalate e corrette; la sfida per il settore sarà riuscire a mantenere questo vantaggio anche quando strumenti simili diventeranno più accessibili.