Ce qui s'est réellement passé
Le 27 octobre, la Frontier Red Team d'Anthropic a publié cinq chaînes d'exploits fonctionnelles contre Chrome, Safari, Android, Windows et Linux. Toutes ont été trouvées et construites par un seul modèle non publié, avec peu ou pas d'intervention humaine. Aucune n'a été observée en attaque réelle, et chaque faille a été signalée à l'éditeur puis corrigée. Lisez cela comme une démonstration de capacité, pas comme un incident.
La chaîne vedette, c'est Chrome sous macOS. Quatre failles distinctes enchaînées : une corruption de tas dans V8, une deuxième faille qui sort du bac à sable mémoire de V8 et contourne l'ASLR, une condition de course dans CacheStorage pour lire hors du bac à sable et découvrir la disposition du processus navigateur, puis un use-after-free dans FedCM pour exécuter du code totalement hors du bac à sable. La preuve de concept ouvre la calculatrice sur un Chrome d'origine quelques secondes après le chargement d'une page.
Anthropic déclare avoir signalé 62 failles à Google, toutes dotées d'un CVE et corrigées depuis Chrome 156, toutes critiques ou élevées, dont 13 évasions de bac à sable.
La chaîne Safari n'exécute aucun code. Elle transforme un use-after-free de JavaScriptCore en lecture et écriture complètes de la mémoire du navigateur, puis bascule une seule variable pour désactiver la politique de même origine, la règle qui empêche un site de lire les données d'un autre. Ensuite, une page malveillante peut lire votre historique, vos cookies et les réponses authentifiées de sites où vous êtes connecté. Une session bancaire. Une boîte mail.
Android, c'est le scénario d'accès physique : trois vulnérabilités enchaînées pour contourner l'écran de verrouillage d'un Pixel 9 et extraire photos et données personnelles d'un téléphone volé sans connaître le code PIN. Windows, c'est un déni de service : quelques paquets font tomber un serveur qui répond en HTTP/3, et continuer d'envoyer le maintient à terre, référencé sous CVE-2026-33096. Le modèle l'a trouvé à partir d'un binaire, sans code source ni symboles.
Et puis Linux, le plus dangereux des cinq. Un use-after-free issu d'une condition de course dans la pile réseau du noyau devient un root distant sans interaction contre tout serveur disposant d'un listener multipath TCP. Aucun identifiant. Aucune interaction. L'exploit contourne KASLR à distance en fuitant un pointeur noyau pendant 48 minutes, puis détourne l'exécution vers une charge préparée pendant les cinq suivantes. Une tentative ratée ne fait que couper la poignée de main, l'attaquant peut donc réessayer indéfiniment. Référencé CVE-2026-98432, CVSS 9.8, corrigé en amont et rétroporté.
Pourquoi cela compte plus que n'importe quel CVE
Le développement d'exploit a toujours été la partie coûteuse de l'offensive. Trouver une faille est difficile. Transformer quatre failles en une chaîne qui survit à l'ASLR, au bac à sable et à une course qu'il faut gagner, c'est l'année d'un spécialiste. L'affirmation d'Anthropic, c'est que cette année se compte désormais en minutes.
Les notes de version des éditeurs en confirment au moins une partie : Google crédite un chercheur Anthropic assisté par Claude sur des correctifs précis, et Apple crédite deux chercheurs Anthropic avec Claude pour le use-after-free de Safari.
Ce que vous ne pouvez pas vérifier de l'extérieur, c'est la part de pilotage humain. Anthropic dit que le prompting initial a fait l'essentiel, sans détailler ce qu'une personne a fait à chaque étape. Deux des cinq chaînes reposent sur la description d'Anthropic et non sur une trace indépendante : l'entrée CVE Windows nomme HTTP.sys plutôt que le chemin QUIC, et l'entrée Linux décrit un correctif TCP IPv4. Aucune n'est dans le catalogue d'exploitation connue de la CISA.
Gardez donc les deux vérités. La capacité est réelle et la comptabilité imparfaite. La conclusion stratégique ne change ni dans un sens ni dans l'autre.
La partie que la plupart vont sauter
Enfouie dans la méthodologie, il y a la leçon vraiment réutilisable : des scanners en parallèle, mesurés au nombre de vulnérabilités supplémentaires que chacun apporte, avec une couverture suivie pour traiter tout le code. Puis le correctif qui compte plus que tous les autres : scanner au moment de la pull request. Vider le backlog résout la moitié du problème. L'autre moitié, c'est d'empêcher les nouvelles failles d'entrer.
C'est la même forme que l'argument que nous répétons sur les agents. Une capacité sans porte n'est qu'une manière plus rapide de perdre.
Quoi faire cette semaine
- Compressez votre horloge de correctifs. Si une chaîne se construit en une session de recherche, votre cycle mensuel en périphérie est un passif. Infrastructure critique de bord et orientée navigateur dans une fenêtre de 24 heures, corrigée ou atténuée.
- Traitez les navigateurs comme des serveurs de production. Chrome 156, iOS 26.5.2, les rétroports du noyau Linux. Le taux de conformité de votre parc est le seul qui compte.
- Révisez vos hypothèses de même origine. Si une seule primitive mémoire peut désactiver la SOP, vos cookies de session sont le périmètre. Jetons à durée courte, liés à l'appareil, renouvelés à chaque changement de privilège.
- Exigez une revue MPTCP. Multipath TCP est désactivé par défaut presque partout. Vérifiez-le sur tout ce qui est exposé à Internet, et traitez tout listener que vous n'avez pas activé sciemment comme un incident.
- Partez du principe qu'un modèle lit votre code. L'obfuscation n'est plus une défense. L'architecture, le moindre privilège et la télémétrie le sont.
- Instrumentez le trafic IA de votre réseau. Anthropic publie un plugin Claude Code avec des conseils de sécurité, et les mêmes outils qui trouvent des failles dans votre dépôt en trouvent ailleurs. Sachez quels serveurs chez vous ont le droit d'appeler un modèle.
La conclusion inconfortable, c'est que la défense dispose maintenant de la même chaîne de production que l'offensive vient d'obtenir. Le programme Cyber Verification élargi d'Anthropic donne aux défenseurs vérifiés un accès aux modèles de frontière précisément pour ce travail. Les équipes qui le branchent sur leur pipeline ce trimestre trouveront leurs propres failles avant tout le monde.
Les autres liront la divulgation coordonnée : corrigé, patché, et déjà un jour de retard.