Claudeの開発元Anthropicが未公開AIでChromeやSafariの深刻な欠陥を発見 攻撃手順まで自動作成

前と何が違う？

Chrome：4つの欠陥をつないで、サンドボックスの外へ

Chromeでは、ClaudeがmacOS上の標準設定のブラウザを相手に、一連の攻撃を書き上げました。ページを読み込んで数秒で、電卓アプリが起動します。これは「任意のコードを実行できる」ことの実演です。

流れは4段階です。まずV8（JavaScriptを動かす部分）で、メモリを壊す欠陥を見つけました。次に、V8の保護領域を抜け、メモリ配置を隠すASLRという防御も破っています。

3段目はCacheStorageの競合状態（処理の順序の隙）です。最後にFedCM（サインイン機能）の解放後使用（use-after-free）で、サンドボックス（隔離された安全な箱）の外に出ました。

Googleへの報告では、62件のCVEが割り当てられ、Chrome 156までに修正されています。すべて重大か高の評価です。うち13件がサンドボックス脱出、21件が描画処理の乗っ取りに使えるものでした。

Safari：コード実行なしでサイトの壁を壊す

Safariでは、どのサイトのJavaScriptでも、同一オリジンポリシーを完全に無効化できる攻撃を作りました。同一オリジンポリシーとは、サイトごとの情報を互いに読めなくする基本ルールです。

被害の例として、元記事は次の点を挙げています。メールにログイン中なら内容を読まれ、銀行にログイン中なら残高を見られます。履歴やCookieも読み出せます。

面白いのは、任意コードの実行を使わない「データだけの攻撃」だという点です。セキュリティの旗や、物の大きさ、URLを書き換えるだけで成立します。単独では欠陥と呼べない仕様も、組み合わせると悪用できました。

Appleは報告当日に受領を返し、修正はすでに利用者に届いています。

Android：盗まれたPixel 9のロック画面を迂回

Androidでは、盗まれた端末のロックを解かずに、写真などを取り出す攻撃を作りました。オープンソース部分のコード解析と、Google Play servicesのバイナリの解読を組み合わせています。さらに実機のGoogle Pixel 9でも試しました。

ロック中はUSBでデータを送らない設計ですが、特定の設定のUSBホストで回避できました。端末間転送の認可確認も飛ばしています。6桁コードの確認も、利用者が「許可」を押したかのように見せかけて迂回しました。

最後に、ファイルの中身をUSBで送らせない検査も、別の経路で抜けました。この問題はGoogleが対応済みです。

Windows：バイナリだけを読んで欠陥を探し当てた

Windowsでは、HTTP/3に応答するマシンを遠隔から落とせる攻撃を作りました。難しかったのは、欠陥を最初に見つける部分です。

Anthropicは実行ファイルを渡し、Ghidraなどの既存の解析ツールで仕組みを読み解かせました。さらに注釈つきのCプログラムで挙動を再現させ、元の動きと比べさせています。そのうえで危険度の高い問題を尋ねると、見つかりました。

欠陥はWindowsカーネルのQUIC実装にある範囲外読み取りです。数個のパケットでマシンが落ちて再起動し、繰り返せば使えない状態が続きます。MicrosoftがCVE-2026-33096を割り当てて修正しました。該当サーバーは、数百万台あると見積もられています。

Linux：認証なしで管理者権限、約53分で到達

Linuxカーネルのネットワーク部分には、遠隔から誘発できる欠陥が見つかりました。対象は、マルチパスTCPを待ち受けるサーバーです。認証も利用者の操作もなしに、root権限でコマンドを実行できます。

手順は2段階です。まずKASLR（カーネルの配置を隠す防御）を、返信に混ざる余分なバイトから破ります。次に、同じ欠陥で関数の呼び出し先を書き換え、攻撃者が仕込んだ処理を走らせます。

競合に負けても通信が失敗するだけで、システムは落ちません。そのため何度でも再試行できます。実証では、ポインタの漏えいに48分、コマンド実行までさらに5分でした。この欠陥はCVE-2026-98432で、本家カーネルに修正され、保守中の安定版へも反映されました。

数字で見るとどう変わった？

前の版との比較表は、元記事にありません。ただ、規模を示す数字は並んでいます。

• Chrome：62件のCVEを割り当て、Chrome 156までに修正
• Chromeの内訳：サンドボックス脱出が13件、描画処理の乗っ取りに使えるものが21件
• 開示ルール：修正期間90日、その後さらに45日
• Windows：該当サーバーは数百万台と推定
• Linux：ポインタ漏えい48分、コマンド実行まで追加で5分

編集部としては、攻撃を成功させるまでの人手の量が語られていない点が気になります。記事は「ほとんど人手なし」と述べますが、最初の指示の中身は、元記事の範囲では分かりません。

ライバルと比べてどう？

元記事では、他社のAIとの比較は示されていません。ここは編集部の知識による補足です（編集部注）。

GoogleやOpenAIも、AIで脆弱性を見つける取り組みを公表してきました。ただ、今回のように複数の製品で攻撃手順の全体を作り、実演した例は多くありません。優位かどうかは、同じ条件の比較がないので断定できません。

評価できるのは、証拠の出し方です。実際に動く攻撃を作るため、第三者が再現して確かめられます。一方で弱点もあります。使われたモデルは未公開で、外部の人は同じ実験をできません。

料金は？

元記事では、研究に使ったモデルの価格や提供時期への言及はありません。

関連する提供としては、Cyber Verification Programの拡大版があります。資格のあるセキュリティ専門家に、高度なサイバー機能と、制限を緩めた分類器（危険な依頼を止める仕組み）を提供する制度です。対象にはClaude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1などが含まれます。この制度の料金は元記事に書かれていません。

日本で使える？

まだ分かりません。研究用モデルは非公開で、日本での提供について元記事は何も述べていません。

今日から試せることは、次のとおりです。

• Claude Codeのセキュリティ用プラグイン：Anthropicが公開済みと述べています。入手先は元記事の「released publicly」のリンクから
• Cyber Verification Program：資格のある専門家が対象。日本からの申請可否は元記事では言及なし
• 日本語対応や地域制限：元記事では言及なし

注意点もあります。この種の道具は攻撃にも使えるため、自社や許可を得た範囲に限って使うことが前提です。

自分にはどう関係する？

エンジニアなら

自分のコードを守る作業が変わります。記事は、溜まった欠陥を直すだけでは半分だと述べています。もう半分は、新しい欠陥を入れない仕組みです。そのため、PR（変更提案）の時点でのスキャンを勧めています。

Anthropicの社内基盤では、スキャン用AIを大量に並列で走らせています。戦略は、関数単位の網羅から、脅威モデルに反する箇所探しまで幅があります。確認と危険度評価は共通の流れを通します。全部をまねる必要はありませんが、複数の観点で走らせる発想は参考になります。

企画・マーケティングなら

直接の影響は小さいものの、顧客データを扱うWebアプリは対象になり得ます。元記事も、重要なWebアプリで多数の欠陥を見つけたと述べています。

自社サービスの委託先に、どんな検査をしているか聞いておくとよいでしょう。ブラウザやOSの更新を社内で徹底する依頼も、すぐできる対策です。

経営者・管理者なら

修正までの時間が勝負になります。元記事は、強いAIを守る側に先に渡し、攻撃者より先に直せるようにすべきだと述べています。

編集部の見立てでは、同等の力を持つAIが攻撃側に渡る日も遠くないでしょう。自社のセキュリティ予算は、更新の速度と自社コードの検査を軸に見直す価値があります。一方で、記事は開発元自身の発信です。件数や成果は、各社の公開情報と照らして読むのが安全です。

まとめ

今回の発表は、AIが脆弱性を見つけるだけでなく、動く攻撃まで作れる段階に入ったことを示します。ただし研究用モデルは未公開で、誰でも使える状況ではありません。

次の一手は2つです。まずブラウザ、OS、スマホを最新に保つこと。次に、自社コードをPR時点で検査する体制を作ることです。専門職の人は、Cyber Verification Programの条件を確認してください。