10月28日、GBHackersのDivyaが「Anthropic's Claude Chains One-Click and Zero-Click Exploits to Bypass Chrome, Android and Linux Security」と題した記事を公開した。AnthropicのAIモデル「Claude」が未公開の研究版として、Chrome・Android・Linuxなど主要プラットフォームの脆弱性エクスプロイトチェーンを研究環境下で生成・実証したことについて詳しく紹介されている。
AIが「脆弱性連鎖」を構築する時代へ
Anthropicのセキュリティ部門「Frontier Red Team」が2026年10月27日に発表した内容は、AIのセキュリティ能力の現在地を端的に示している。未公開の研究モデル「Claude」が、Chrome・Safari・Android・Windows・Linuxのそれぞれに対して動作するエクスプロイトチェーンを研究環境下で開発した。ユーザーの操作をほぼ、あるいは一切必要としない（ワンクリック/ゼロクリック）攻撃手法を含む点が特に重大だ。なお、発見された脆弱性はすべてベンダーへ事前報告済みで、パッチ適用も済んでいる。
AI×セキュリティ研究の分野では、LLMを使った脆弱性探索・エクスプロイト生成の自動化が近年急速に進んでいる。今回の報告はその中でも、単一のAIモデルが複数の主要プラットフォームを横断して複合的な攻撃チェーンを構築できることを示した点で注目に値する。
最重要事例：Linuxカーネルへのゼロクリック・ルート権限奪取
今回の報告で最も深刻なのがLinuxサーバーへのゼロクリック攻撃だ。
対象はマルチパスTCP（MPTCP）リスナーを有効にしたサーバー。認証不要のリモート攻撃者がroot権限でコマンドを実行できる。元記事によると、手順はこうだ：
- カーネルネットワークスタックにあるレースコンディションを突き、Use-After-Free（解放済みメモリを再利用する脆弱性の一種）を引き起こす
- まずKASLR（Kernel Address Space Layout Randomization：カーネルのメモリ配置をランダム化し、アドレス推測を困難にする防御機構）を破るためにカーネルアドレスをリーク——この工程に約48分
- 続いてコールバックポインタを上書きし、シェルコマンドを実行——さらに約5分
攻撃失敗時にシステムがクラッシュしないため、何度でもリトライ可能という点も厄介だ。元記事によると、CVE番号はCVE-2026-98432とされており、現在メンテナンス中の安定版カーネルすべてにパッチが適用済みだ。
Chromeは単独で62件のCVE、SafariはコードなしでSOP突破
Chromeの事例では、Claudeが研究環境においてブラウザのサンドボックス外でコードを実行する完全なエクスプロイトを生成した。元記事によると、PoCコードはページ読み込みから数秒でmacOS上のCalculatorアプリを起動したという。
攻撃チェーンの構造はこうだ：
- ChromeのJavaScriptエンジン**V8**のバグでヒープメモリを破壊
- 別の欠陥でV8のメモリサンドボックスを脱出しASLRを無効化
CacheStorageのレースコンディションで特権ブラウザプロセスのメモリレイアウトを特定- フェデレーション認証機能FedCM（Federated Credential Management：ブラウザが仲介するシングルサインオン標準仕様）のUse-After-FreeでChromiumサンドボックスを最終脱出
Googleはこの結果を受けてChrome固有の脆弱性として62件のCVEを登録し、Chrome 156で全修正。うち13件がサンドボックス脱出に分類された。
Safariの事例はさらに独特で、任意コードを実行せずに同一オリジンポリシー（SOP）をバイパスした。SOPとは、異なるオリジン（ドメイン・プロトコル・ポートの組み合わせ）のリソースへのアクセスをブラウザが制限するWebの根本的なセキュリティモデルだ。メモリ上のセキュリティフラグ・オブジェクトサイズ・URLの3か所を書き換えるだけで、閲覧履歴・Cookie・メール/バンキングのセッション情報が外部から読み取れる状態を作り出した。Appleは報告当日に認識し、修正済みだ。
AndroidとWindowsでの攻撃実証
Androidでは、ロック状態のGoogle Pixel 9から写真と個人データを抜き取ることに成功した。USBデータブロックのスキップ・ペアリング認証チェックのスキップ・6桁コード確認のスキップという3つの欠陥を連鎖させ、最終的にUSB経由でファイルの生データを送出した。Googleは対応済みだ。このケースはフィジカルアクセスを前提とするものの、ロック画面という最後の防衛線をAIが複数欠陥の連鎖によって突破した点が重要だ。
Windowsでは、WindowsカーネルのQUIC（HTTP/3の基盤プロトコル）実装にリモートクラッシュバグを発見した（元記事による番号：CVE-2026-33096）。数パケット送信するだけでHTTP/3対応サーバーがクラッシュ・再起動する。AnthropicはインターネットにさらされたサーバーとしてChrome数百万台規模が影響範囲と推定しているという。Claudeはこのバグを、**Ghidra**（NSAが公開しているオープンソースのリバースエンジニアリングツール）でWindowsバイナリを解析することで発見した。
Anthropicが示す2つの教訓
Anthropicはこの成果から2点を強調している。
- 複数のスキャンエージェントを並列実行することで、発見できる脆弱性の数が大幅に増える
- プルリクエスト単位でコードをスキャンし、新たな欠陥を積み上げないようにする
この目的のため、AnthropicはClaude Code向けの無料セキュリティガイダンスプラグインをリリースした。また、審査済みのセキュリティ防衛チームにより強力なツールを提供するCyber Verification Programも拡充中で、2026年4〜7月の間にパートナーが確認した脆弱性は12万9,000件以上に達しているという。
Anthropicは記事の末尾でこう述べている——一部の専門家チームだけが持っていたスキルが、今やほとんど人手なしに実行できるようになった。同じ能力は攻撃者にも使える。だからこそ、自分のコードを自らスキャンし、パッチを素早く当てることが以前にも増して重要だ。
※編集部の考察：今回の報告は研究用途に限定されたモデルによる実証であり、汎用版Claudeが同等のエクスプロイト生成を行えるとは示されていない。ただし、AIが複数プラットフォームを横断して複合攻撃チェーンを構築できることを示した事実は、防御側にとって無視できない転換点となりうる。
詳細はAnthropic's Claude Chains One-Click and Zero-Click Exploits to Bypass Chrome, Android and Linux Securityを参照していただきたい。
