Anthropic（アンスロピック）、未公開の社内研究モデルでChrome・Safari・Android・Windows・Linuxの攻撃チェーン5件を実証Chromeは62件のCVEが修正済みと発表

Anthropic（アンスロピック）は米国時間2026年10月27日（日本時間28日）、未公開の社内研究モデルを使ってブラウザやOSの重大な脆弱性を見つけ、5つの攻撃チェーンを公表しました。公式記事によると、対象はChrome、Safari、Android、Windows、Linuxです。Claude（クロード）が最初の指示の後に攻撃コードを書き、いずれもリモートコード実行など重大な影響に至る内容だったとしています。ChromeはChrome 156時点で62件のCVEが割り当て・修正済みと、同社は書いています。

3行まとめ

1. Anthropicは10月27日、未公開の社内研究モデルでChrome・Safari・Android・Windows・Linuxの攻撃チェーン5件を実証したと発表した。
2. 同社によると、ChromeはChrome 156時点で62件のCVEが修正済み（うちサンドボックス脱出13件）。WindowsはCVE-2026-33096、LinuxはCVE-2026-98432。
3. 各社には協調的な脆弱性開示で報告済み。同社は「自社コードの走査がこれまで以上に重要」と助言している。

本記事の内容は、日本時間10月28日3時台に公式ページで確認したものです。

5つの攻撃チェーンは、それぞれ何をしたのか

以下はすべてAnthropicの発表に基づく記述です。筆者が再現したものではありません。

Chrome：4つの脆弱性をつないでサンドボックスの外へ

Anthropicの説明では、手順は4段階です。

1. V8（JavaScriptエンジン）のヒープメモリを壊す脆弱性
2. V8のメモリ領域のサンドボックスを抜けてASLRを破る2つ目の脆弱性。ROPチェーンでレンダラープロセスを掌握
3. CacheStorageの競合状態を使い、サンドボックス外のメモリを読んで特権プロセスのメモリ配置を知る
4. FedCM（フェデレーション認証の機能）のuse-after-freeで、サンドボックス外の任意コード実行に至る

Googleへの報告で割り当てられた62件のCVEのうち、13件がサンドボックス脱出、21件がレンダラーの乗っ取りに使えうるものだったと、同社は書いています。

Safari：コード実行ではなく、フラグの書き換えで守りを外す

Safariの連鎖は、JavaScriptCoreのuse-after-free、WebKitのGigacageの外への任意の読み書き、WebContentサンドボックスのIPC機構の欠陥、最後に同一オリジンポリシーの無効化という流れです。Anthropicは、任意のコード実行に頼らず、メモリ上のセキュリティフラグ・オブジェクトサイズ・URLを書き換える「データのみの攻撃」だと説明しています。単独では脆弱性とは言えない仕様が、組み合わせると悪用できるようになる点も挙げています。

Android・Windows・Linux

Androidは、ロック中の端末がUSBでデータを転送しない設計、端末間転送プロトコルの認可確認、6桁コードの照合、ファイル内容をUSBで運ばない固定の検査の4つの防御を、Claudeがそれぞれ回避したとされます。作業はオープンソース部分のソースコード解析、Google Play servicesのバイナリの解析、実機のPixel 9での検証の3つを組み合わせたものです。

Windowsは、カーネルのQUIC実装にある範囲外読み取りです。Anthropicによると、Ghidraなどの既存のリバースエンジニアリングツールでWindowsの実行ファイルを解析させ、動作を再現するC言語のプログラムを書かせて比較した後、より危険度の高い問題を探させたところ、この脆弱性が出てきました。同社は、このようなサーバーがインターネット上に「おそらく数百万台」あると推定しています。

Linuxは、競合状態に起因するカーネルのuse-after-freeです。第1段階でKASLRを破り、第2段階でコールバックポインタを書き換えます。競合に負けてもシステム全体は落ちず、ハンドシェイクが失敗するだけなので、攻撃者は成功するまで繰り返せる、と同社は書いています。同社の概念実証では、カーネルポインタの取得に48分、その後シェルコマンドの実行までに5分でした。

誰が、いつ報告し、いつ詳細が出るのか

Anthropicは各脆弱性を、自社の協調的な脆弱性開示の枠組みで報告したと書いています。この枠組みでは、開発元に90日の修正期間を与え、公開アドバイザリーに含まれる以上の詳細は、さらに45日待ってから議論する方針です。

同社の開示方針のページ（最終更新2026年3月6日）には、さらに次の記載があります。

• 90日の期限、または修正の公開のうち早い方を目安に、防御側へ詳細を共有する
• 実際に悪用されている重大な脆弱性は、修正または緩和策の目標を7日とする
• 開発元が30日以内に最初の報告へ応答しない場合は、外部の調整機関に引き継ぐ
• AIによる発見に由来する報告は、そのことを明示する

発見の進め方と、防御側への提案

Anthropicは「学んだこと」として2点を挙げています。1つ目は、テスト時の計算量とスキャナーの多様性が、見つかる脆弱性の数を大きく増やすことです。多数のスキャン用エージェントを並列に動かす基盤を作り、各スキャナーが追加で何件見つけたかを測り、コードベース全体を処理できているかを追跡したとしています。2つ目は、既存の未修正の山を直すだけでは半分にしかならず、新しい脆弱性が入るペースを下げるために、プルリクエストの段階でスキャンすることを勧めている点です。同社は、開発プロセスに組み込んだセキュリティ指針を、Claude Codeのプラグインとして公開したと書いています。

防御側への提供については、10月6日付の別の発表で、Cyber Verification Program（CVP）を拡張したと説明しています。今回の記事は、その対象モデルとして Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1（ミトス）を挙げています。CVPは次の3つの段階に分かれます。

CVPはClaude Platform、Google CloudのVertex AI、Microsoft Foundryで利用でき、Amazon Bedrockでは Enterprise Frontier Safeguards の対象顧客に限られる、と書かれています。日本の組織が申請できるかどうかは、今回取得したページからは読み取れませんでした。

前の発表と何が違うのか

Anthropicは10月8日に、オープンソース向けの無料スキャナー OSS Scanner を発表しています。同社はそこで、過去6か月で2万9,000件超の候補を見つけ、人手で確認できたのは約6,000件だと書いています。今回の記事は、その規模の話ではなく、Chrome・Safari・Android・Windowsという非公開ソースを含む製品で、複数の脆弱性を連鎖させた攻撃コードまで作れたという点が中心です。同社は、こうした作業が従来は専門家のごく少数のチームの領域だったが、今はモデルが人手をほとんど介さずにでき、誰でも実行して確かめられる動くエクスプロイトとして示せる、と述べています。

サイト内では、直近のAnthropicの別の研究をコードの攻撃面を減らす研究とOSSライブラリの形式検証の記事にまとめています。

公式ページを確認した時点で、読み取れたことと読み取れなかったこと

日本時間28日3時23分に、Anthropicの記事と、記事中でリンクされていたGoogleとAppleのページを取得しました。観測できた範囲は次のとおりです。

• Google側のChrome Releasesのページ（2026年10月20日付、Stable Channel Update for Desktop）は、取得した本文がヘッダーとラベル、アーカイブ一覧だけでした。62件のCVEの一覧や、Anthropicへの謝辞は、取得したテキストには含まれていませんでした。Anthropicの「62件」は、今回の確認では同社の記述としてしか裏づけられていません。
• Appleのセキュリティ情報（iOS 26.5.2・iPadOS 26.5.2。リリースは2026年6月29日、ページの公開日の表記は2026年7月27日）には、WebKitの項目の中に「CVE-2026-43715: Milad Nasr and Nicholas Carlini with Claude, Anthropic」という謝辞が1件あります。ただしこのCVEが記事のSafariの連鎖のどれにあたるのかは、どちらのページにも書かれておらず、今回の確認では結びつけられません。このページが載せる修正日（6月29日）と、Anthropicが書く「過去数か月」の作業との関係も確認できていません。

Anthropicの記事は、SafariとAndroidの修正についてCVE番号を挙げていません。Safariの「その修正」のリンク先は上記のAppleのページですが、連鎖に使われた脆弱性がそこでどの番号にあたるのかは、今回確認したページからは追えませんでした。

Anthropicの発表だけでは分からないこと

• 本記事の事実はすべてAnthropicの発表に由来します。攻撃コードの動作は、第三者の検証を今回確認できていません。
• 今回確認した記事には、使われた「未公開の社内研究モデル」の名前は書かれていません。Claude Mythos 5.1 などはCVPの対象モデルとして挙げられているだけで、この作業に使われたモデルだとは書かれていません。
• Windowsの「数百万台」は、Anthropicの推定です。
• WindowsのCVEはDoS（サービス妨害）で、コード実行ではないと、同社自身が書いています。
• 手順の詳細は、90日の修正期間と45日の猶予を経て議論される方針のため、これ以上の技術情報が出るのは今後になります。

取得したAnthropic・Google・Appleのページ

取得したのは日本時間2026年10月28日3時23分です。

• Discovering and exploiting vulnerabilities in critical, real-world software with Claude（Anthropic、2026年10月27日）
• Expanding the Cyber Verification Program（Anthropic、2026年10月6日）
• Coordinated vulnerability disclosure for Claude-discovered vulnerabilities（Anthropic、最終更新2026年3月6日）
• An opt-in vulnerability-finding service for open-source software（Anthropic、2026年10月8日）
• Chrome Releases: Stable Channel Update for Desktop（Google、2026年10月20日）
• About the security content of iOS 26.5.2 and iPadOS 26.5.2（Apple）

本記事は続報があり次第更新します。