Anthropic heeft in een nieuw beveiligingsrapport laten zien dat een intern, nog niet uitgebracht AI-model kwetsbaarheden in meerdere systemen kon ontdekken en vervolgens aan elkaar kon koppelen tot werkende proof-of-concept exploits. Het belangrijkste nieuws voor organisaties: het bedrijf zegt elke fout eerst aan de betreffende vendor te hebben gemeld, waardoor fixes al beschikbaar zijn.
De onderzoekers tonen daarmee vooral een “keten-denkvermogen” van het model: niet één bug uitbuiten, maar meerdere losse problemen achter elkaar gebruiken om uiteindelijk een bruikbaar resultaat te bereiken. Tegelijkertijd benadrukt Anthropic dat de proof-of-concept in een lab is gebouwd en niet is waargenomen in het wild.
Wat Anthropic precies aantoont met AI modelketens
Volgens Anthropic bestaan de resultaten uit vijf afzonderlijke exploitketens, gericht op Chrome, Safari, Windows en Linux (met daarnaast onderzoek dat ook op Android-achtige contexten kan duiden, maar de uitwerking in de publicatie ligt bij de genoemde platformen). De sterkte van de aanpak zit niet in één individuele kwetsbaarheid, maar in het vermogen van het model om stapsgewijs verschillende barrières te omzeilen.
Anthropic stelt dat de exploits konden worden opgebouwd na “initial prompting” met weinig tot geen menselijke tussenkomst. Op één punt is er wel een beperking in controleerbaarheid: het bedrijf licht niet per stap volledig toe welk deel van elke keten het model zelf heeft geconstrueerd, en er wordt geen modelnaam genoemd behalve “unreleased” en intern.
Chrome-keten: van geheugenfouten naar code buiten de sandbox
Voor Chrome beschrijft Anthropic een keten van meerdere problemen die elkaar opvolgen. In grote lijnen gaat het om vier stappen:
- Eerst wordt geheugencorruptie veroorzaakt in V8, de JavaScript-engine van Chrome.
- Daarna volgt een tweede fout die de memory sandbox in V8 weet te ontlopen, waarna controle kan ontstaan over een deel dat pagina’s rendert.
- Vervolgens zorgt een race condition in CacheStorage ervoor dat de exploit geheugen kan lezen dat normaal niet toegankelijk is.
- Tenslotte maakt een use-after-free in FedCM het mogelijk om code buiten de sandbox uit te voeren.
Anthropic zegt in totaal 62 door het model gevonden issues aan Google te hebben gerapporteerd. Die issues kregen CVE’s en zijn volgens de onderzoekers gefixt in Chrome 156. De omvang van de set is groot, waaronder ook issues die sandbox-escapes mogelijk maken.
Dat maakt deze uitwerking relevant voor patchmanagement: zelfs als je “maar” één component als kritisch ziet, kun je door één keten toch in meerdere verdedigingslagen terechtkomen. Voor context over aanvalstechnieken en ketenrisico’s binnen software en apparaten kun je ook kijken naar eerdere berichtgeving over exploitketens en escalaties, zoals Tailscale Tailworm en privilege escalatie.
Safari-keten: geen code uitvoeren, wel origin policy uitzetten
De Safari-keten wijkt af van de Chrome-aanpak doordat de exploitketen in essentie geen code uitvoert als einddoel. In plaats daarvan koppelt het model fouten aan elkaar om volledig read- en write-toegang tot browsergeheugen te verkrijgen.
Met die toegang verandert de keten één waarde die ervoor zorgt dat de same-origin policy wordt uitgeschakeld. Wanneer die regel wegvalt, kan een kwaadaardige website onder meer gebruikersdata zoals geschiedenis en cookies uitlezen en vervolgens via ingelogde sessies ook verzoeken namens de gebruiker sturen naar andere sites.
De kernfout in de keten betreft een use-after-free die Apple volgens Anthropic heeft gepatcht in iOS en iPadOS 26.5.2. Apple zou daarbij onderzoekers hebben gecrediteerd die met Anthropic en Claude betrokken waren bij deze fix.
Windows-keten: vooral denial of service (geen data- of code-exploit)
Voor Windows beschrijft Anthropic een keten die het duidelijkst als denial-of-service neerzet. De aanval zou met een paar netwerkpaketten de machine kunnen laten crashen en herhalen houdt het systeem vervolgens onder druk. In deze beschrijving zit geen nadruk op het stelen van gegevens of het uitvoeren van willekeurige code.
Technisch koppelt Anthropic dit aan een out-of-bounds read in de Windows-kernel binnen de QUIC-afhandeling. Opvallend is dat de public record in de publicatie (CVE-2026-33096) een andere component noemt, namelijk HTTP.sys, en dat er bij die CVE geen concrete afzender/onderzoeker wordt genoemd. Anthropic geeft daarmee aan dat de link naar de component-uitwerking vooral uit hun eigen onderzoekspost komt.
Verder meldt het bedrijf dat de kwetsbaarheid volgens overheidsverrijking niet was aangemerkt als exploited en ook niet voorkwam in bekende catalogi voor misbruik (zoals CISA’s lijst met bekende exploited bugs).
Linux-keten: root-toegang via netwerk zonder login
De Linux-keten is volgens Anthropic het meest impactvol. Daar zou de exploit via het netwerk commando’s als root kunnen uitvoeren zonder een login. Voor de aanpak moet de doelserver wel luisteren op een configuratie die volgens de beschrijving hoort bij multipath TCP.
De keten bestaat uit meerdere fasen:
- Eerst wordt een kernel memory address gelekt om een verdedigingsmechanisme te omzeilen dat bekendstaat als KASLR.
- Vervolgens wordt dezelfde race-condition opnieuw gebruikt om de exploit zodanig te sturen dat de uitvoering wijst naar code die door de aanvaller eerder is klaargezet.
- Het eindresultaat is een root shell.
Anthropic stelt dat de proof-of-concept ongeveer 48 minuten nodig had om het benodigde address te lekken en vervolgens nog vijf minuten om tot een shell te komen. Bovendien zou een mislukte poging het systeem niet crashen, waardoor een aanvaller kan blijven proberen.
De keten koppelt Anthropic aan CVE-2026-98432, een kernel use-after-free met een hoge beoordeling (9.8). De fix zou volgens het bedrijf upstream zijn geplaatst op 15 oktober. Tegelijk laat de publicatie zien dat de open details bij de CVE niet volledig overeenkomen met het multipath TCP-element; ook hier lijkt de volledige koppeling vooral op Anthropic’s eigen beschrijving te steunen.
Waarom “AI modelketens gepatcht” nu vooral draait om patchen
Ondanks de ingrijpende inhoud is het praktische punt voor organisaties helder: Anthropic zegt dat alle kwetsbaarheden onder een gecoördineerd meldproces zijn afgehandeld, met een periode waarin vendors eerst tijd krijgen om te patchen voordat de details breed worden gedeeld.
Daarnaast is het volgens het rapport controleerbaar dat Apple en Google fixes hebben doorgevoerd en in sommige gevallen ook credit hebben gegeven aan Anthropic en Claude voor specifieke onderdelen van de verbeteringen.
Dat betekent niet dat het risico weg is, maar wel dat de belangrijkste verdediging nu patchbeheer is. Als je browsers en besturingssystemen niet up-to-date houdt, kun je alsnog in de gaten vallen waar de ketens op leunen.
Wat je als organisatie nu kunt doen
- Controleer browser- en OS-versies op naleving van de meest recente security updates (met speciale aandacht voor Chrome 156 en de bijbehorende Apple iOS/iPadOS fixes zoals genoemd in het rapport).
- Herzie je kwetsbaarheidsprioriteiten: kijk niet alleen naar losse CVE’s, maar ook naar scenario’s waarin meerdere stappen elkaar versterken.
- Test je exposure voor de genoemde netwerkmogelijkheden, vooral waar Linux-servers beluisterende services op multipath TCP draaien.
- Gebruik threat intelligence als aanvulling op je eigen scanresultaten: het rapport laat zien hoe snel een combinatie van bugs tot bruikbare PoC kan leiden.
Wil je daarnaast zien hoe snel aanvalstechniek zich kan aanpassen aan nieuwe contexten, dan is het interessant om ook te lezen over eerdere AI-gerelateerde aanvalspaden, zoals AI fake login pages die account takeovers makkelijker maken. Dat gaat niet over modelketens in dezelfde zin, maar het helpt wel om te begrijpen hoe AI in de praktijk bijdraagt aan schaalbaarheid van aanvallen.
Conclusie: minder “wat als”, meer “is het gepatcht?”
Anthropic’s rapport maakt duidelijk dat AI modelketens gepatcht zijn zodra vendors hun fixes hebben doorgevoerd—en dat is precies het moment waarop verdedigers moeten handelen. De studie beschrijft hoe een intern model meerdere afzonderlijke kwetsbaarheden kan combineren tot werkende proof-of-concept exploits voor Chrome, Safari, Windows en Linux.
Hoewel de uitkomsten niet als live aanval zijn gezien, is de boodschap voor security teams concreet: houd systemen up-to-date, behandel patching als prioriteit en kijk bij risico-inschattingen ook naar ketens van meerdere fouten die samen tot impact leiden.
Bron: https://thehackernews.com/2026/10/anthropics-unreleased-ai-model-chains.html
