10月27日、Anthropicが「Discovering and exploiting vulnerabilities in critical, real-world software with Claude」と題した記事を公開した。未公開の内部研究モデルを用いて、Chrome・Safari・Android・Windows・Linuxという主要ソフトウェアで実際に悪用可能な脆弱性を発見・エクスプロイトした研究成果を報告している。
AIがセキュリティリサーチャーの領域に本格的に踏み込んできた。Anthropicが公開したのは「脆弱性を見つけた」という話に留まらず、動作するエクスプロイトチェーンをClaudeが自律的に構築したという報告だ。この研究は攻撃者優位の現状を防御側に知らしめ、AIを活用した自動脆弱性発見を防御側も活用すべきという文脈で発表されている。
Chromeで1クリックRCE：4段階の脆弱性チェーン
最も技術的に重い事例がChrome（macOS）への攻撃チェーンだ。Claudeは初期プロンプトを受けた後、ユーザーの追加操作なしでサンドボックス外での任意コード実行を可能にするフルエクスプロイトを生成した。PoC（概念実証コード）はページ読み込みから数秒でCalculatorアプリを起動する。
攻撃の流れは以下の通りだ：
- V8のヒープ破壊：ChromeのJavaScriptエンジンV8に、悪意あるWebページからヒープメモリ（プログラムが動的に確保するメモリ領域）を破壊できる脆弱性を発見
- ASLR回避とレンダラー制御：V8のメモリ領域サンドボックスを脱出し、ROP（Return-Oriented Programming）チェーン（既存コードの断片をつなぎ合わせて任意処理を実行する技法）でレンダラープロセスを完全制御。ASLR（Address Space Layout Randomization）はメモリ配置をランダム化して攻撃を困難にするOS標準の防御機構
- CacheStorageの競合状態：サンドボックスに閉じ込められたレンダラーから、特権ブラウザプロセスのメモリレイアウトを読み出す競合状態を発見
- FedCMのUse-After-Free：ChromeのFederated Sign-in機能にUAF（Use-After-Free）脆弱性——解放済みメモリへの不正アクセス——を発見し、サンドボックス外での任意コード実行を達成
この一連の成果として62件のCVEが割り当てられ、元記事公開時点でパッチ済みとなっている。うち13件はサンドボックスエスケープ、21件はレンダラー侵害に使用可能なものだった。いずれも重要度は「Critical」または「High」と評価されている。
なお、元記事に記載されているCVE番号および適用済みChromeバージョンは元記事原文を直接参照されたい。外部のCVEデータベースへのリンクは情報が確定次第、元記事経由で確認することを推奨する。
Safariでは「コード実行なし」の純粋データ攻撃
SafariへのエクスプロイトチェーンはChrome版と趣が異なる。任意コード実行を一切使わずに同一オリジンポリシー（SOP）を完全回避する、データオンリーの攻撃だ。SOP（Same-Origin Policy）とは、異なるドメインのページ間でデータを読み取れないようにするブラウザの基本的なセキュリティ境界を指す。
JavaScriptCore（SafariのJSエンジン）のUAF脆弱性を起点に、WebKitのGigacage（TypedArrayデータを隔離してポインタ偽装攻撃を防ぐメモリ保護機構）を突破し、最終的にメモリ上のセキュリティフラグを書き換えてSOPを無効化する。これにより攻撃者のページは、被害者がログイン中のメールや銀行口座の情報を任意のオリジンから読み取れる状態になる。
「いくつかの弱点は単独では脆弱性ではなく、意図された挙動が組み合わさることで悪用可能になる」と記事は指摘する。Appleは報告当日に確認し、迅速に修正を展開している。
AndroidロックスクリーンバイパスとLinuxのゼロクリックRCE
Androidの事例では、ロックされたGoogle Pixel 9から写真などの個人情報をUSB経由で抜き取るエクスプロイトを構築した。オープンソース部分のソースコード解析、Google Play Servicesバイナリのリバースエンジニアリング、実機テストを組み合わせた手法で、USB転送の認可チェックスキップとペアリング時の6桁コード検証バイパスなど3つの脆弱性をチェーンした。
Linuxの事例は影響範囲の広さで際立つ。マルチパスTCPリスナーを持つLinuxサーバーに対し、認証なし・ゼロクリックでrootシェルを実行できる脆弱性だ。競合状態を利用したKASLR（カーネル空間のASLR）回避（所要時間約48分）と制御フロー乗っ取り（約5分）の2段階で構成され、失敗しても対象システムがクラッシュしないため攻撃者は無制限にリトライできる。元記事に記載のCVEはアップストリームでパッチが当たり、全メンテナンス中の安定版カーネルにバックポートされている。
Windowsの事例では、HTTP/3（QUIC）を使うWindowsサーバーをリモートからクラッシュ・再起動させられるカーネルの境界外読み取り脆弱性を発見した。Claudeはバイナリ解析ツールGhidraを用いてWindowsの実行ファイルをリバースエンジニアリングし、脆弱なコードパスを特定した。インターネット上でこの攻撃に晒されるサーバーは数百万台規模と推定されている。元記事に記載のCVE番号の詳細はAnthropicの原文を参照されたい。
「発見」だけでなく「新規混入の抑制」が重要
Anthropicはスキャナーを並列で大量実行するプラットフォームを構築し、純粋なコードカバレッジ、ゴールベース（顧客データへの侵害経路があるか）、脅威モデルベース（ドキュメント上の脅威モデルを回避する経路があるか）など複数の戦略を組み合わせている。
また「既存の脆弱性バックログの解消は問題の半分でしかない」として、PRレビュー時にリアルタイムでスキャンする手法を推奨している。AnthropicはこのアプローチをClaude Codeプラグインとしてオープンソース公開している。
ディフェンダーへの含意
記事はこう締める。「フロンティアモデルは複数の脆弱性を発見し、動作するエクスプロイトに組み合わせる能力を持つ。この能力はこれまで少数の専門チームにしか持ち得なかった。今やモデルが人間をほとんど介さずに実現でき、誰でも実行・検証できる動作するエクスプロイトとして証明できる」。
この研究の主眼は攻撃手法の公開ではなく、防御側がAIを活用した自動スキャンを早急に取り入れる必要性の訴求にある。Anthropicが示したClaude Codeプラグインによるリアルタイムのセキュリティスキャンは、その具体的な第一歩として位置づけられている。同プラグインはGitHub上でオープンソース公開されており、既存のCI/CDパイプラインやPRレビューフローへの統合を想定した設計になっている。
Anthropicは防御側の専門家向けにCyber Verification Programの拡張版を公開しており、最新の研究モデルへのアクセスを提供しているとしている。プログラムの詳細や参加要件はAnthropicの公式ページで確認できる。なお、同プログラムで利用可能なモデル名の詳細は元記事原文を直接参照されたい。
詳細はDiscovering and exploiting vulnerabilities in critical, real-world software with Claudeを参照していただきたい。
