ClaudeがChromeとSafariの攻撃チェーンを組み立てた、Anthropic公表の5件。防御側の仕事が『公開前スキャン』に寄る理由

まず初めに

「AIが脆弱性を見つけた」という話は、もはや珍しくない。今回違うのは、見つけた穴を一つずつ並べるのではなく、穴と穴を繋いで「実際に突破できる道筋（攻撃チェーン）」まで組み立てた、と公表した点である。しかも対象が、身の回りの道具のほぼ全部——ブラウザ2種、スマホ、Windows、Linux——という並びだ。派手な話に見えるが、読み方を間違えてはいけない。これは攻撃の自慢ではなく、「修正済みの事例を並べて、防御の手順を変えよう」という、防御側に向けた報告書である。怖がるための記事ではなく、更新を後回しにしない理由として読むべき話だと思う。

※個人の感想です

何が起きたのか

AnthropicのFrontier Red Teamは2026年10月27日、「Discovering and exploiting vulnerabilities in critical, real-world software with Claude（Claudeによる、重要な実世界のソフトウェアの脆弱性の発見と悪用）」と題した研究記事を公開しました。

同社によると、過去数か月にわたり未公開の社内研究モデルを使い、世界で最も広く使われるソフトウェアの一部で深刻な脆弱性を発見しました。今回公表された5件の攻撃チェーンは、リモートコード実行など深刻な影響につながり、オープンソースとプロプライエタリ（公開されていない）ソフトウェアの双方で、多段階の高度な攻撃手法を作れることを示すものだとしています。

各脆弱性は、同社の協調的脆弱性開示（coordinated vulnerability disclosure）の方針に基づいて影響を受けるベンダーへ報告されました。この方針では、開発者に修正のための90日を与え、その後さらに45日が経過するまでは、公開済みのアドバイザリに含まれる内容を超える詳細は議論しない、としています。

5件の攻撃チェーン

1. Chrome：ワンクリックのリモートコード実行

最初の指示（プロンプト）の後、Claudeは、攻撃者が利用者として任意のコードをブラウザのサンドボックスの外で実行できる完全な攻撃チェーンを書いた、と同社は述べています。概念実証では、標準の既定構成のChrome（macOS）で、ページを開いてから数秒のうちに、利用者の追加操作なしで計算機アプリが起動したといいます。

段取りは、JavaScriptエンジン「V8」のメモリを破損させる脆弱性、V8のメモリ領域サンドボックスを突破してアドレス配置のランダム化（ASLR）を回避する脆弱性、CacheStorageの競合状態、連携サインイン機能「FedCM」の解放済みメモリ使用（use-after-free）などを組み合わせたものです。

同社は結果をGoogleへ報告し、Chrome 156までに62件のCVEが割り当てられて修正されたとしています。いずれも深刻度は「critical」または「high」で、その中には13件のサンドボックス脱出と、21件のレンダラー侵害に使われ得た脆弱性が含まれます。

2. Safari：同一生成元ポリシーの完全な回避

2件目はSafariです。最初の指示の後、Claudeは、あらゆるウェブサイトのJavaScriptが同一生成元ポリシー（SOP）を完全に回避できる攻撃チェーンを書いた、としています。これにより、利用者のSafariの履歴やCookieなどの機微なデータへアクセスしたり、ログイン済みの他ドメインへ認証付きのリクエストを送って応答を読んだりできる状態になった、という説明です。

手法は、JavaScriptエンジン「JavaScriptCore」の解放済みメモリ使用、メモリ分離の仕組み「Gigacage」の回避、WebContentサンドボックスのプロセス間通信の脆弱性によるディスク上のデータベース読み取りなどを組み合わせたもので、任意のコード実行に頼らず、メモリへの読み書きだけでセキュリティフラグなどを書き換える「データ専用」の攻撃だった点が特徴だと同社は述べています。

Appleは報告を受けた当日に受領を確認し、速やかに修正を実装しました。その修正は利用者向けに提供されている、と同社はリンクを添えて示しています。

3. Android：ロック画面の回避

3件目はAndroidです。盗まれたAndroid端末から、ロックを解除せずに写真などの個人情報を抽出できる攻撃をClaudeが書いた、としています。作業は、オープンソース部分のソースコード分析、Google Play開発者サービスのバイナリの逆行解析と難読化解除、実機のGoogle Pixel 9でのライブテストを組み合わせたものです。

USB経由のデータ転送の制限、端末間転送の認可チェック、6桁コードによるペアリング確認、USB転送でファイル内容を運ばないとするチェックなど、複数の保護層について、それぞれ回避方法が見つかり、3つを組み合わせて最終的な攻撃にしたとされています。この問題はGoogleにより対処済みだ、と同社は述べています。

4. Windows：リモートからサービス不能にできる脆弱性

4件目はWindowsです。ネイティブのWindows実装でHTTP/3リクエストに応答するあらゆるWindowsマシンを、リモートからクラッシュさせられる攻撃をClaudeが書いた、としています。

見つかったのは、WindowsカーネルのQUIC実装におけるメモリ安全でない境界外読み取りで、ネットワーク越しに到達でき、少数のパケットでマシンをクラッシュ・再起動させることができる、というものです。繰り返し送れば継続的にサービスを止められ、同社はインターネット上で待ち受けている同様のサーバーが数百万台規模で存在する可能性が高いと見積もっています。発見の過程はバイナリ解析が中心で、逆行解析ツール（Ghidraなど）も使われました。

同社はこの脆弱性をMicrosoftへ直接報告し、Microsoftが修正してCVE-2026-33096が割り当てられた、としています。

5. Linux：ゼロクリックのリモートコード実行

5件目はLinuxです。マルチパスTCPの待ち受けがあるLinuxサーバーへパケットを送ることで、認証情報も利用者の操作もなしに、rootとして任意のコマンドを実行できる攻撃をClaudeが書いた、としています。土台は、カーネルのネットワークスタックにおける競合状態に起因する解放済みメモリ使用です。

概念実証では、カーネルのアドレス配置を漏らすのに48分、シェルコマンドの実行に到達するのにさらに5分を要したとされています。競合に負けてもシステム全体はクラッシュせず握手が失敗するだけのため、攻撃者は成功するまで無期限に試行できる性質も指摘されています。この脆弱性（CVE-2026-98432）は上流で修正され、保守されているすべての安定版カーネルブランチへ反映（バックポート）された、と同社は述べています。

このほか同社は、OpenBSD、FreeBSD、Linuxにおけるローカル権限昇格、著名なサンドボックス基盤における脱出、重要なWebアプリケーションにおける多数の脆弱性も発見したとしています。

同社が得た知見と、防御側への提言

同社は、作業を通じて得た知見として2点を挙げています。第一に、テスト時に使う計算量の拡大と、スキャナーの多様性が、見つかる脆弱性の数を大きく増やすこと。第二に、既存の蓄積（バックログ）を直すだけでは問題の半分しか解けず、残り半分は、新しい脆弱性がコードベースへ入る速度を下げることだ、という点です。その実践として、プルリクエスト時点でのスキャンを推奨し、Claude Code用プラグインとしてセキュリティガイダンスを開発工程に組み込む仕組みを公開したとしています。

防御側への結論として同社は、最先端のモデルには、複数の脆弱性を発見して組み合わせ、動作する攻撃手法を作る能力がある、と述べています。かつて少数の専門家チームの領域だったこの技能が、人間の関与がほとんどない状態でモデルに可能になり、しかも動作する概念実証で証明できる、というのが同社の見立てです。

同社は最近、サイバー防御の資格を持つ専門家向けに高度なサイバー能力とブロック分類器の緩和を提供する「Cyber Verification Program」の拡張版を公開し、Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1などの最上位モデル群へのアクセスを含めたとしています。防御側への助言は「自社コードのスキャンはこれまで以上に重要だ」という点に集約されています。

私たちへの影響

今回公表された5件は、いずれも報告と修正が先行した事例として説明されています。一般の利用者が新たに何かを設定しなければならない、という話ではありません。

ただし、修正が「提供されている」ことと、手元の端末へ「適用されている」ことは別です。ChromeやSafari、Android、Windows、Linuxカーネルなど、対象は日常的に使う基盤ばかりです。ブラウザとOSの更新を後回しにしない、自動更新を有効にしておく、という基本が、今回の公表を受けての実務的な対応になります。組織でソフトウェアを開発している場合は、公開前・プルリクエスト時点のセキュリティスキャンの有無が、見直し項目になります。

初心者が知っておくべきこと

Q. 「攻撃チェーン」とは何ですか。

A. 一つの脆弱性だけでは突破できない防御を、複数の脆弱性や不備を順番に組み合わせることで抜ける道筋のことです。今回のChromeの事例では、メモリ破損、サンドボックス突破、特権プロセスの情報取得などを段階的に繋いだことが報告されています。

Q. 自分の使っているChromeやSafariは危ないのですか。

A. Anthropicの説明では、今回の事例はベンダーへ報告され、修正が進められたものとして公表されています。ChromeについてはChrome 156までに62件のCVEが修正されたとされています。手元のブラウザとOSを最新版へ更新しておくことが、利用者側の対応です。

Q. なぜ攻撃の詳細を公開するのですか。

A. 同社の協調的開示の方針では、開発者に90日の修正期間を与え、その後の期間も公開済みアドバイザリの範囲を超える詳細は扱わない、とされています。今回の記事は、その手続きを経た範囲で、防御側が手順を見直す材料として公表されたものです。

IT Postの見方——ニュースは「AIが突破した」ではなく「突破の単価が下がった」こと

IT Postでは、今回の公表の核心は、個々の脆弱性の派手さではなく、攻撃チェーン構築という専門技能の「単価」が下がったことだと考えます。ブラウザのサンドボックス脱出も、カーネルの競合状態の悪用も、これまでは到達できる人間の数が限られることで、事実上の防御になっていた部分がある。モデルが最初の指示だけで多段階の組み立てを担えるなら、その前提は崩れる。防御側が公開前スキャンに寄らざるを得ない、という同社の提言は、自社製品の宣伝であると同時に、この前提の変化への対応宣言でもある。

一方で、割り引いて読むべき部分もある。使われたのは未公開の社内研究モデルで、成果は同社自身の報告であり、第三者が同じ条件で再現した結果ではない。62件というCVEの数も、深刻度の内訳は同社の説明に基づく。それでも、報告を受けた各ベンダーが実際に修正とCVE割り当てで応じた事実は重い。「AIが見つけた」という宣伝文句と違い、修正という形で相手側の行動が伴っている事例は、検証の物差しとして使いやすい。今後の同様の公表でも、見るべきは件数の大きさより、相手ベンダーの修正が実在するかどうかだ。

※個人の感想です

今後どうなりそうか

焦点は、公表された他の発見（権限昇格やサンドボックス脱出など）について、ベンダー側のアドバイザリや修正情報が順次出てくるかどうかです。また、同社が拡張した防御者向けプログラムの運用が、実際の修正速度にどう影響するかも注目点です。

IT Postでは、各ベンダーの続報や新たな公表が出た場合は、本記事を更新して追います。