過去数か月にわたり、私たちは未公開の内部研究モデルを使用して 重大な脆弱性を発見し ました。対象は、ブラウザやオペレーティングシステムなど、世界で最も広く使われているソフトウェアの一部です。この投稿では、5つの攻撃チェーンの詳細を共有します。これらは、ユーザーの操作をほとんど、あるいはまったく必要とせずに、リモートコード実行およびその他の重大な影響を引き起こすものでした。これらの攻撃チェーンは、オープンソースおよびプロプライエタリの両方のソフトウェアにおいて、洗練された多段階のエクスプロイトを作成するモデルの能力を示しています。これらの製品の脆弱性は、数十億人のユーザーに影響を及ぼす可能性があります。また、これらは世界で最もセキュリティ上重要なソフトウェアの一部であり、モデルの脆弱性研究およびサイバー能力を試験する上での指標となります。
私たちは、各脆弱性を影響を受けるベンダーに、当社の 協調脆弱性開示の下で報告しました。これにより、開発者にはパッチ適用のため90日間の猶予が与えられ、公開アドバイザリにすでに含まれている内容を超える詳細について私たちが言及するまで、さらに45日間の期間が設けられます。
1. Chromeにおけるワンクリックのリモートコード実行
初期のプロンプトの後、Claudeは、攻撃者がブラウザのサンドボックスの外部でユーザーとして任意のコードを実行できるようにする完全なエクスプロイトチェーンを作成しました。私たちのコンセプト実証は、macOS上でデフォルト構成のままのChromeブラウザにおいて、ページの読み込みから数秒以内に、それ以上のユーザー操作なしで電卓アプリを起動します。
- Claudeは、ChromeのJavaScriptエンジンであるV8の脆弱性を発見しました。これにより、悪意のあるウェブページがV8のヒープメモリを破壊することが可能になりました。
- Claudeは、V8のメモリ領域サンドボックスから脱出し、ASLRを無効化するための2つ目の脆弱性を発見しました。このステップでは、メモリ内のChromeのコードを特定し、リターン指向プログラミング（ROP）チェーンを使用してレンダラープロセスを完全に制御しました。
- 侵害されたレンダラーはChromeのプロセスサンドボックスによって制限されていました。そこでClaudeは、CacheStorageにおける競合状態を発見しました。侵害されたレンダラーはこの競合状態を利用してサンドボックス外のメモリを読み取り、特権を持つブラウザプロセスのメモリレイアウトを把握しました。
- 最後に、ClaudeはChromeのフェデレーテッドサインイン機能であるFedCMにおけるuse-after-freeを発見しました。これにより、エクスプロイトはサンドボックスの外部で任意のコードを実行することができました。
私たちはこの発見をGoogleに報告しました。62個のCVEが割り当てられ、 Chrome 156の時点でパッチが適用されています。すべてがクリティカルまたは高深刻度と評価されています。その中には、13個のサンドボックスエスケープと、レンダラーを侵害するために使用される可能性のあった21個の脆弱性が含まれます。
2. Safariにおけるワンクリックのエクスプロイトチェーン
初期のプロンプトの後、Claudeは、あらゆるウェブサイトのJavaScriptが同一オリジンポリシー（SOP）を完全にバイパスできるようにするエクスプロイトチェーンを作成しました。このエクスプロイトは、ユーザーのSafariの履歴、Cookie、その他の機密データにアクセスできるほか、他のドメインに認証済みのHTTPリクエストを送信し、そのレスポンスを読み取ることができました。たとえば、ユーザーがメールアカウントにサインインしている場合、攻撃者はそのメールを読むことができます。銀行口座にログインしている場合、攻撃者は残高を確認したり送金を試みたりすることができます。
これを実現するために、ClaudeはSafariに組み込まれた複数の保護レイヤーを突破しました。
- Claudeは、C++で書かれたSafariのJavaScriptエンジンであるJavaScriptCoreにおけるuse-after-free（UAF）の脆弱性を発見しました。特定のTypedArray操作が、解放済みメモリへの古いポインタを通じて書き込みを行い、TypedArrayのメタデータを上書きしていました。
- WebKitのGigacageは、TypedArrayデータをメモリの別の領域に分離することで、この種の攻撃を緩和します。Claudeは、この領域内の特定の変数が他の領域へのインデックスとして使用されていることを発見し、それによってGigacageの外側での任意の読み書きプリミティブを得ました。
- すべてのウェブサイトのJavaScriptはWebContentサンドボックス内で実行されます。これは、UAFのようなバグがディスク上の機密性の高いブラウザデータに到達するのを防ぎます。Claudeは、このサンドボックスのIPCメカニズムにおける脆弱性を発見し、それによりエクスプロイトがディスクからSafariの保存された履歴、Cookie、セッションデータベースを読み取ることが可能になりました。
- 最後に、ClaudeはUAFを利用してメモリ内の変数を上書きしてSOPを無効化し、攻撃者のページが他の任意のオリジンからデータを読み取れるようにしました。
このチェーンが興味深いのは、任意のコード実行に一切依存しないデータのみの攻撃である点です。代わりに、ブラウザプロセスのメモリへの完全な読み書きアクセスを使用して、セキュリティフラグ、オブジェクトサイズ、およびURLを変更します。いくつかの弱点は、それ単体では脆弱性ではなく、組み合わせることで悪用可能になる意図された動作です。
Appleは、私たちが報告を提出した当日にそれを確認し、迅速に修正を実装しました。 その修正 はユーザーに提供されています。
3. Androidのロック画面バイパス
初期のプロンプト指示の後、Claudeは、盗まれたAndroid端末をロック解除することなく、攻撃者が写真やその他の個人情報を取り出せるエクスプロイトを作成しました。この作業は3つの手法を組み合わせたものです:Androidのオープンソース部分のソースコード解析、Google Play servicesバイナリのリバースエンジニアリングおよび難読化解除、そして物理的なGoogle Pixel 9を用いた実機テスト。これにより、オープンソースとプロプライエタリの両方のコンポーネントにおいて、幅広い脆弱性が見つかりました。Claudeはそのうちの3つを連鎖させて最終的なエクスプロイトを作り上げました。
Androidには、この攻撃に対する複数の保護層があります。Claudeはそれぞれを回避する方法を見つけました:
- ロックされたAndroid端末は、USB経由でデータを転送しないように設計されています。Claudeは、特定の設定を持つUSBホストがこれをバイパスすることを発見しました。
- デバイス間転送プロトコルは、認可されていないピアからのデータコマンドを拒否します。Claudeは、認可チェックをスキップしてペアリングプロセスを開始する方法を見つけました。
- ペアリングは、ユーザーに6桁のコードの確認を求める認証付き鍵合意によって保護されています。Claudeは、この確認をスキップし、ユーザーが「許可」をタップしたかのように動作する欠陥を見つけました。
- USB転送は、ハードコードされたチェックによって強制されているため、ファイルの内容を運ぶことは想定されていません。Claudeは、USB経由で生バイトを送信し、そのチェックの対象外となっているフォールバック機構を見つけました。エクスプロイトはこの機構を通じてファイルの内容を要求しました。
この問題はGoogleによって対処されました。
4. Windowsのリモートサービス拒否
初期のプロンプト指示の後、Claudeは、Windowsネイティブ実装を使ってHTTP/3リクエストに応答する任意のWindowsマシンを攻撃者がリモートでクラッシュさせることを可能にするエクスプロイトを作成しました。このケースでの難しさは、そもそも脆弱性を特定することにありました。その初期のプロンプト指示の後、私たちはこの脆弱性をMicrosoftに直接報告し、Microsoftは脆弱性を解決し、次の識別子を割り当てました: CVE-2026-33096.
Claudeが特定した脆弱性は、WindowsカーネルのQUIC実装におけるメモリ安全性の範囲外読み出し(out-of-bounds read)でした。攻撃者はネットワーク経由でリモートから脆弱なコードパスに到達し、待ち受け中のサーバーにいくつかのデータパケットを送信するだけで、マシンをクラッシュさせて再起動させることができました。これらのリクエストを繰り返し送信することで、サーバーを継続的にクラッシュさせることが可能となり、すべてのユーザーがサーバーにアクセスできなくなります。私たちの推定では、インターネット上にはおそらく数百万台のこのような待ち受け中のサーバーが存在します。
Claudeはバイナリ解析を通じてこの脆弱性を発見しました。私たちはモデルにWindows実行ファイルのコピーを提供し、既存のリバースエンジニアリングツール(Ghidraなど)を使用してソフトウェアの動作をリバースエンジニアリングし、関連する機能を再現する完全に注釈付きのCプログラムを作成し、再現されたプログラムの動作をバイナリと比較して正確性を確認し、その後コードを調査して脆弱性を探すようClaudeに依頼しました。潜在的によりリスクの高い問題を特定するようClaudeに求めたところ、このリモートから悪用可能な脆弱性が浮上しました。
5. Linuxにおけるゼロクリックのリモートコード実行
この記事はサードパーティ製品に焦点を当てていますが、オープンソースに関する私たちの作業も継続しています。Claudeとともに、OpenBSD、FreeBSD、Linuxにおけるローカル特権昇格の脆弱性、人気のあるサンドボックスインフラにおける多数のサンドボックスエスケープ、そして重要なウェブアプリケーションにおける多数の脆弱性を発見しました。また、Linuxカーネルのネットワーキングスタックにおけるリモートからトリガー可能(ゼロクリック)な任意コード実行の脆弱性も発見しており、これらはすでに上流でパッチが適用され、公開されています。以下にその一例を詳しく説明します。
初期のプロンプト指示の後、Claudeは、multipath TCPリスナーを持つLinuxサーバーにリモートの攻撃者がパケットを送信し、認証情報やユーザーの操作なしにrootとして任意のコマンドを実行できるエクスプロイトを作成しました。根底にある脆弱性は、カーネルのネットワーキングスタックにおける競合状態によって引き起こされるUAF(use-after-free)バグです。完全な悪用には2つの重要な段階があります:
- 第一段階では、攻撃者はリモートでKASLRを突破します。競合を利用してカーネルに攻撃者が制御する長さフィールドを読み込ませ、余分なバイトをコピーして攻撃者に送り返させます。そのような過剰読み出し(overread)の1つに返信内にカーネルポインタが含まれていれば、攻撃者はカーネルのアドレス空間レイアウトを知ることができます。
- 第二段階では、攻撃者は制御フローを乗っ取ります。同じUAFバグを利用してバッファをオーバーフローさせ、攻撃者が通常のプロトコル機能を通じてカーネルメモリに事前に配置しておいたペイロードのアドレスでコールバックポインタを上書きします。カーネルがコールバックを呼び出すと、ペイロードは既存のカーネル関数への一連の呼び出しを連鎖させ、最終的に攻撃者が選んだシェルコマンドがrootとして実行されます。
この競合条件を可能にする特性は、競合に負けた場合でもハンドシェイクが失敗するだけでシステム全体がクラッシュしないという点であり、そのため執念深い攻撃者は成功するまで無限に再試行できます。私たちの概念実証では、カーネルポインタの漏洩に48分かかり、シェルコマンドの実行に到達するまでにさらに5分かかりました。この脆弱性(CVE-2026-98432)は上流でパッチが適用され、メンテナンス中のすべてのstableカーネルブランチにバックポートされました。
私たちが学んだこと
このセキュリティ作業にClaudeを使用したプロセス全体を通じて、私たちのアプローチを形作った多くの洞察を得ました。そのうち2つは特に重要だと考えています。
テスト時コンピュートのスケーリングとスキャナの多様性は、発見できる脆弱性の数を大幅に増やします。 私たちは、大量のスキャンエージェントを並列に実行し、各スキャナが全体にどれだけの追加脆弱性をもたらしたかを測定し、スキャナがコードベース全体を処理できるようにカバレッジを動的に追跡するプラットフォームを構築しました.
戦略は、純粋なカバレッジ(この関数に脆弱性はあるか?)から、目標ベース(このアプリは顧客データを危険にさらすものを公開していないか?)、脅威モデルベース(このアプリに文書化された脅威モデルを迂回するものがあるか?)に至るまで多岐にわたります。また、確認されたすべての知見に対して、Claude を使って自動化された変異分析を実行しました。すべての知見は標準化された検証およびリスク評価パイプラインを通過するため、品質基準を下げることなく新しいスキャナを自由に試すことができます。
既存のバックログを解消することは問題の半分しか解決しません。残りの半分は、新しい脆弱性がコードベースに入り込む速度を抑えることです。 そのために、PR 時のスキャンをお勧めします。私たちは Claude Code プラグインを通じて、セキュリティガイダンスを開発プロセスに直接組み込みました。これは 公開済みです.
防御者にとってこの意味すること
フロンティアモデルは、複数の脆弱性を発見して組み合わせ、動作するエクスプロイトを作り出すことができます。これらのスキルは、歴史的に対象に精通した少数の専門チームの領域でした。今や、モデルがほとんど人間の関与なしに行えるものであり、誰もが実行して検証できる動作するエクスプロイトを生成することでそれを証明できます。
攻撃者に先駆けてシステムにパッチを適用するためには、防御者に強力なモデルを提供することが極めて重要です。最近、私たちは拡張版の Cyber Verification Programを公開しました。これは、条件を満たすセキュリティ専門家に高度なサイバー能力と緩和されたブロッキング分類器を提供するものです。Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 をはじめとする最も高性能なモデル、および今後のその他の新しいモデルへのアクセスが含まれます。防御者への私たちの助言は変わりません。自分自身のコードをスキャンすることが、これまで以上に重要です。
著者および謝辞
貢献者
ニコラス・カリーニ、デイビッド・ドゥワーケン、シンヤン・ゲー、ベン・モリス、ミラド・ナスル、クリス・ロルフ、ルナ・トン