Was tatsächlich passiert ist
Am 27. Oktober veröffentlichte Anthropics Frontier Red Team fünf funktionierende Exploit-Ketten gegen Chrome, Safari, Android, Windows und Linux. Jede wurde von einem einzigen unveröffentlichten Modell mit kaum oder gar menschlicher Beteiligung gefunden und gebaut. Keine davon war in einem echten Angriff zu sehen, und jeder Fehler wurde an den Hersteller gemeldet und behoben. Lesen Sie es als Fähigkeitsnachweis, nicht als Vorfall.
Die Schlagzeilen-Kette ist Chrome unter macOS. Vier verschiedene Fehler, in Folge verkettet: eine Heap-Korruption in V8, ein zweiter Fehler, der die Speicher-Sandbox von V8 verlässt und ASLR aushebelt, eine Race Condition in CacheStorage, um außerhalb der Sandbox zu lesen und das Layout des Browser-Prozesses zu lernen, und schließlich ein Use-after-free in FedCM, um Code vollständig außerhalb der Sandbox auszuführen. Der Proof of Concept startet den Taschenrechner in einem unveränderten Chrome wenige Sekunden nach dem Laden einer Seite.
Anthropic erklärt, 62 Fehler an Google gemeldet zu haben, alle mit CVE und mit Chrome 156 behoben, alle kritisch oder hoch, inklusive 13 Sandbox-Escapes.
Die Safari-Kette führt überhaupt keinen Code aus. Sie verwandelt ein Use-after-free in JavaScriptCore in vollständiges Lesen und Schreiben im Browser-Speicher und setzt dann eine einzige Variable, um die Same-Origin-Policy abzuschalten, die Regel, die verhindert, dass eine Website die Daten einer anderen liest. Danach kann eine bösartige Seite Ihren Verlauf, Ihre Cookies und authentifizierte Antworten von Seiten lesen, bei denen Sie angemeldet sind. Eine Bank-Session. Ein Postfach.
Android ist das physische Szenario: drei Schwachstellen, verkettet zu einem Lock-Screen-Bypass auf einem Pixel 9, der Fotos und persönliche Daten aus einem gestohlenen Telefon extrahiert, ohne den PIN zu kennen. Windows ist eine Denial-of-Service-Schwachstelle: wenige Pakete bringen einen Server zum Absturz, der HTTP/3 beantwortet, und weiteres Senden hält ihn unten, geführt als CVE-2026-33096. Das Modell fand sie aus einem Binary, ohne Quellcode und ohne Symbole.
Und dann Linux, der gefährlichste der fünf. Ein Use-after-free aus einer Race Condition im Netzwerk-Stack des Kernels wird zum Zero-Click-Remote-Root gegen jeden Server mit einem Multipath-TCP-Listener. Keine Zugangsdaten. Keine Interaktion. Der Exploit überwindet KASLR remote, indem er über 48 Minuten einen Kernel-Zeiger leakt, und leitet dann die Ausführung in den nächsten fünf Minuten in eine vorbereitete Payload um. Ein fehlgeschlagener Versuch verwirft nur den Handshake, der Angreifer kann also endlos wiederholen. Geführt als CVE-2026-98432, CVSS 9.8, upstream und per Backport behoben.
Warum das mehr zählt als jeder einzelne CVE
Exploit-Entwicklung war immer der teure Teil der Offensive. Einen Fehler zu finden ist schwer. Vier Fehler in eine Kette zu verwandeln, die ASLR, Sandboxing und ein Rennen übersteht, ist das Jahr eines Spezialisten. Anthropics Behauptung ist, dass das Jahr jetzt Minuten sind.
Die Versionshinweise der Hersteller stützen zumindest einen Teil: Google nennt einen Anthropic-Forscher, unterstützt von Claude, bei konkreten Fixes, und Apple nennt zwei Anthropic-Forscher mit Claude für das Safari-Use-after-free.
Was Sie von außen nicht prüfen können, ist, wie viel ein Mensch gesteuert hat. Anthropic sagt, das initiale Prompting habe den Großteil geleistet, listet aber nicht auf, was eine Person in welchem Schritt tat. Zwei der fünf Ketten stützen sich auf Anthropics Beschreibung und nicht auf eine unabhängige Spur: der Windows-CVE-Eintrag nennt HTTP.sys statt des QUIC-Pfads, und der Linux-Eintrag beschreibt einen IPv4-TCP-Fix. Keiner steht im CISA-Katalog bekannter Ausnutzung.
Halten Sie also beide Wahrheiten. Die Fähigkeit ist real, die Buchhaltung nicht perfekt. Die strategische Schlussfolgerung ändert sich in beiden Fällen nicht.
Der Teil, den die meisten überspringen
Tief in der Methodik steckt die eigentlich wiederverwendbare Lehre: Scanner parallel, gemessen daran, wie viele zusätzliche Schwachstellen jeder beiträgt, mit verfolgter Abdeckung, damit der ganze Code durchlaufen wird. Und dann der Fix, der mehr zählt als alle anderen: beim Pull Request scannen. Den Rückstau abzuarbeiten löst die halbe Aufgabe. Die andere Hälfte ist, neue Fehler nicht hineinzulassen.
Das ist dieselbe Form wie unser Argument zu Agenten. Fähigkeit ohne Gate ist nur ein schnellerer Weg zu verlieren.
Was diese Woche zu tun ist
- Verkürzen Sie Ihren Patch-Takt. Wenn eine Kette in einer Forschungssitzung entsteht, ist Ihr 30-Tage-Zyklus an der Edge eine Bürde. Kritische Edge- und browser-nahe Infrastruktur in ein 24-Stunden-Fenster, gepatcht oder mitigiert.
- Behandeln Sie Browser wie Produktionsserver. Chrome 156, iOS 26.5.2, die Linux-Kernel-Backports. Ihre Flotten-Compliance-Zahl ist die einzige, die zählt.
- Prüfen Sie Same-Origin-Annahmen. Wenn eine einzige Speicher-Primitive die SOP abschalten kann, sind Ihre Session-Cookies der Perimeter. Kurzlebige, gerätegebundene Tokens, rotiert bei Rechteänderungen.
- Erzwingen Sie MPTCP-Review. Multipath TCP ist fast überall standardmäßig aus. Bestätigen Sie das für alles Internetseitige und behandeln Sie jeden Listener, den Sie nicht bewusst aktiviert haben, als Vorfall.
- Gehen Sie davon aus, dass ein Modell Ihren Code liest. Obfuskation ist keine Verteidigung mehr. Architektur, Least Privilege und Telemetrie sind es.
- Instrumentieren Sie den KI-Verkehr in Ihrem eigenen Netz. Anthropic liefert ein Claude-Code-Plugin mit Sicherheitshinweisen, und dieselben Werkzeuge, die Fehler in Ihrem Repo finden, finden sie auch im Repo anderer. Wissen Sie, welche Ihrer Server ein Modell aufrufen dürfen.
Die unbequeme Erkenntnis ist, dass die Verteidigung jetzt dieselbe Produktionslinie bekommt, die die Offensive gerade erhalten hat. Anthropics erweitertes Cyber Verification Program gibt geprüften Verteidigern Zugang zu Frontier-Modellen genau für diese Arbeit. Teams, die das in diesem Quartal in ihre Pipeline einbauen, finden ihre eigenen Fehler, bevor es jemand anderes tut.
Alle anderen lesen davon in einem koordinierten Disclosure-Post, behoben, gepatcht und schon einen Tag im Rückstand.