Anthropic, henüz yayımlanmamış bir yapay zekâ modelinin Chrome, Safari, Android, Windows ve Linux’ta güvenlik açıkları bulduğunu ve bunları birbirine zincirleyerek çalışan kavram kanıtı (PoC) exploit’lere dönüştürdüğünü açıkladı. Şirketin Frontier Red Team ekibinin araştırma yazısında beş exploit zinciri anlatılıyor.
Exploit’ler laboratuvar ortamında, model yönlendirildikten sonra geliştirildi; herhangi bir gerçek saldırıda görülmedi. Anthropic her açığı önce ilgili üreticiye bildirdiğini, bu yüzden hepsinin yamalandığını söylüyor. PoC’lerden biri, macOS üzerinde standart Chrome çalıştıran bir Mac’te, sayfa yüklendikten saniyeler sonra başka bir tıklama gerekmeden Hesap Makinesi uygulamasını açtı.
Asıl iddia: Tek bir model, açıkları zincirliyor
Haberin en dikkat çekici kısmı tek bir açık değil. Anthropic’e göre aynı model birden fazla ayrı açık buldu ve bunları çalışan bir exploit’te birleştirdi. Şirket bunun bugüne kadar yalnızca birkaç uzman ekibin yapabildiği bir iş olduğunu söylüyor. Anthropic’in ifadesiyle: “Artık bu, modellerin az insan müdahalesiyle yapabildiği ve herkesin çalıştırıp doğrulayabileceği bir exploit üreterek kanıtlayabildiği bir şey.”
The Hacker News’ün altını çizdiği önemli bir nokta var: Bu yetenek iddiası Anthropic’in kendi anlatımına dayanıyor. Yamalar ve Apple ile Google’ın belirli düzeltmeler için Anthropic’e ve Claude’a teşekkür etmesi üreticilerden doğrulanabiliyor. Ancak her zincirin ne kadarını modelin tek başına kurduğu dışarıdan kontrol edilemiyor. Anthropic çalışmanın yalnızca “ilk yönlendirme” ve “az insan müdahalesi” gerektirdiğini söylüyor; ama her adımda bir insanın ne yaptığını ayrıntılandırmıyor ve modelin adını vermiyor, yalnızca yayımlanmamış, dahili bir araştırma modeli olarak tanımlıyor.
Beş zincir bir bakışta
| Platform | Exploit ne yapıyor? | Gereken koşul | Düzeltme |
|---|---|---|---|
| Chrome | Tek bir web sayfası ziyaretiyle, tarayıcının sandbox’ı dışında bilgisayarda kod çalıştırıyor | Tek tıklama ya da sayfa yüklemesi, macOS’ta standart Chrome | Chrome 156, 20 Ekim |
| Safari | Herhangi bir web sitesinin, kullanıcının oturum açtığı diğer sitelerdeki (e-posta, banka hesabı gibi) verileri okumasını sağlıyor | Kötü amaçlı bir sayfayı tek ziyaret | iOS ve iPadOS 26.5.2, 29 Haziran |
| Android | Kilitli, çalınmış bir telefondan fotoğrafları ve diğer verileri kopyalıyor | Telefona USB üzerinden fiziksel erişim | Anthropic’e göre Google düzeltti; herkese açık bir kayıt bulunamadı |
| Windows | Ağ üzerinden bir sunucuyu çökertiyor, tekrarlanarak kapalı tutulabiliyor | Sunucu HTTP/3 isteklerine yanıt veriyor | CVE-2026-33096, Nisan 2026’da yamalandı |
| Linux | Giriş ya da kullanıcı etkileşimi olmadan ağ üzerinden root olarak komut çalıştırıyor | Sunucuda multipath TCP dinleyicisi çalışıyor | CVE-2026-98432, 15 Ekim’de yamalandı |
Chrome: Dört açık, tek zincir
Chrome zincirinde model dört ayrı açığı sırayla kullandı:
- Kötü amaçlı bir sayfa önce Chrome’un JavaScript motoru V8‘de bellek bozulmasına yol açtı.
- İkinci bir açık V8’in bellek sandbox’ından kaçarak sayfayı render eden Chrome bileşeninin kontrolünü ele geçirdi.
- CacheStorage özelliğindeki bir race condition, bu kodun erişmemesi gereken belleği okumasını ve daha yetkili tarayıcı sürecinin bellek düzenini öğrenmesini sağladı.
- Son olarak Chrome’un oturum açma özelliği FedCM‘deki bir use-after-free açığı, exploit’in sandbox’ın tamamen dışında kod çalıştırmasına imkân verdi.
Anthropic, Google’a bildirdiği ve Chrome 156 itibarıyla CVE atanıp düzeltilen 62 açık olduğunu söylüyor. Hepsi kritik ya da yüksek önem derecesinde ve 13’ü sandbox kaçışı. Google’ın sürüm notları belirli Chrome düzeltmeleri için “Xinyang Ge of Anthropic, assisted by Claude” ifadesiyle teşekkür ediyor; ancak 62 açığın hepsi için değil.
Safari: Kod çalıştırmadan veri hırsızlığı
Safari zinciri farklı, çünkü hiç kod çalıştırmıyor. Açıkları zincirleyerek tarayıcı belleğinde tam okuma ve yazma erişimi elde ediyor, ardından tek bir değeri değiştirerek bir web sitesinin başka bir sitenin verisini okumasını engelleyen same-origin policy‘yi kapatıyor.
Bu kural kapandığında kötü amaçlı bir sayfa kullanıcının geçmişini ve çerezlerini okuyabiliyor ve diğer sitelere oturum açılmış gibi istek gönderebiliyor. Apple, zincirin merkezindeki use-after-free açığını iOS ve iPadOS 26.5.2’de düzeltti ve “Milad Nasr and Nicholas Carlini with Claude, Anthropic” ifadesiyle teşekkür ediyor.
Windows: Bağımsız kaydı olan ama en dar etkili zincir
Windows zinciri bağımsız bir kaydı olan tek örnek, aynı zamanda etkisi en dar olanı. Bu bir hizmet engelleme (DoS) saldırısı: Birkaç ağ paketi makineyi çökertiyor ve paketler tekrarlandıkça makine kapalı kalıyor; ama kod çalıştırmıyor ya da veri çalmıyor. Anthropic açığı Windows çekirdeğinin QUIC işleyişindeki bir out-of-bounds read olarak tanımlıyor.
Ancak işaret ettiği CVE-2026-33096’nın herkese açık kaydı, Windows’un yerleşik web istek işleyicisi HTTP.sys‘i adresliyor ve 10 üzerinden 7,5 puan veriyor. Bu iki tanımın aynı bileşeni anlattığını gösteren açık bir kaynak yok. CVE kaydında açığı bulan kişi ya da kurum belirtilmediği için bu açığın Anthropic tarafından bulunduğu bilgisi yalnızca şirketin kendi yazısına dayanıyor. Ekim sonu itibarıyla ABD hükümetinin zafiyet veritabanı açığı istismar edilmemiş olarak işaretliyor ve açık CISA’nın aktif istismar edilen zafiyetler kataloğunda yer almıyor.
Linux: Ağ üzerinden root
Etkisi en ciddi olan Linux zinciri: Giriş yapmadan ağ üzerinden root olarak komut çalıştırıyor. Bunun için hedef sunucuda bir multipath TCP dinleyicisi çalışıyor olması gerekiyor. Model önce KASLR adlı korumayı atlatmak için bir çekirdek bellek adresini sızdırıyor, ardından aynı race condition açığını yeniden kullanarak programı saldırganın önceden yerleştirdiği koda yönlendiriyor ve root shell elde ediyor.
Anthropic’e göre PoC adresi sızdırmak için 48 dakika, shell’e ulaşmak için beş dakika daha harcadı. Başarısız bir deneme sistemi çökertmediği için saldırgan tekrar tekrar deneyebiliyor. Şirket bu zinciri, 9,8 puanlı ve 15 Ekim’de upstream’de düzeltilen bir çekirdek use-after-free açığı olan CVE-2026-98432 ile ilişkilendiriyor. Ancak bu CVE’nin herkese açık kaydı multipath TCP değil, IPv4 TCP ile ilgili bir düzeltmeyi tanımlıyor; ikisini yalnızca Anthropic’in yazısı birbirine bağlıyor.
Sorumlu ifşa ve savunmacılar için program
Anthropic çalışmayı savunmacılara yardım olarak konumluyor. Her açığı, geliştiricilere yamalamak için 90 gün ve herkese açık bir bülten dışındaki ayrıntıları konuşmadan önce 45 gün daha tanıyan koordineli ifşa politikasıyla bildirdiğini söylüyor. Güvenlik ekiplerini de doğrulanmış profesyonellere Claude Opus 5.5, Sonnet 5.5 ve Mythos 5.1 erişimi veren genişletilmiş Cyber Verification Program‘a yönlendiriyor.
Pratik açıdan yapılacak şey net: Chrome’u 156’ya, iOS ve iPadOS’u 26.5.2’ye güncellemek; Windows’ta Nisan 2026 yamalarının ve Linux’ta 15 Ekim çekirdek düzeltmesinin uygulandığından emin olmak. Yetenek iddiası ise şimdilik Anthropic’in kendi anlatımına dayanıyor. Windows ve Linux açıklarının CVE kayıtlarıyla Anthropic’in tanımı arasındaki farklar da bağımsız olarak netleşmiş değil.
Kaynak: https://thehackernews.com/2026/10/anthropics-unreleased-ai-model-chains.html
