Perusahaan keselamatan kecerdasan buatan Anthropic telah menerbitkan laporan yang menunjukkan bahawa model Claude dalaman mereka menemui banyak lubang keamanan serius di lima sistem: Chrome, Safari, Android, Windows, dan Linux, serta membina secara autonom 5 rantai serangan yang boleh dijalankan. Rantai serangan ini merangkumi risiko menyeluruh seperti pelarian sandbox, pengelakan dasar sumber yang sama, ekstraksi data skrin kunci, dan eksekusi kod jarak jauh peringkat kernel. Lubang-lubang keamanan berkaitan telah diserahkan dan diperbaiki mengikut prosedur pengungkapan berkoordinasi, menonjolkan potensi kuat dan amaran keselamatan model besar dalam pertahanan dan serangan automatik.Penulis artikel, sumber: AIBase
Baru-baru ini, syarikat keselamatan kecerdasan buatan Anthropic secara rasmi mengeluarkan satu laporan penyelidikan penting. Laporan tersebut mengungkap bahawa satu model penyelidikan Claude dalaman yang tidak diumumkan berjaya mengesan banyak lubang kelemahan dalam lima sistem operasi dan peramban utama—Chrome, Safari, Android, Windows, dan Linux—serta secara automatik menggabungkannya menjadi lima rantai serangan berisiko tinggi yang boleh dijalankan. Semua lubang kelemahan berkaitan telah dilaporkan kepada pihak-pihak berkenaan mengikut prosedur pengungkapan terkoordinasi dan telah dibaiki.
Dalam konteks peramban Chrome yang menjadi perhatian besar, laporan yang diserahkan oleh Anthropic kepada Google menghasilkan sejumlah 62 kelemahan serius atau berisiko tinggi, termasuk 13 kelemahan pelarian sandbox dan 21 kelemahan yang boleh mengawal proses merender halaman web; pembaikan berkaitan telah dikeluarkan secara rasmi bersama versi Chrome 156. Pasukan penyelidik menunjukkan bahawa selepas diberikan petunjuk awal, Claude mampu secara autonom mengesan kelemahan dan menulis kod eksploitasi, di mana bukti konsep (PoC)nya bahkan mampu memanggil aplikasi kalkulator secara langsung dalam persekitaran pemasangan lalai macOS dalam beberapa saat selepas halaman dimuatkan.
Di peramban Safari milik Apple, model membina rantai serangan "satu klik" yang berjaya mengelakkan dasar sumber asal. Ini memberi peluang kepada laman web jahat untuk mengakses data laman web lain yang seharusnya diisolasikan dengan ketat, membolehkan pembacaan sejarah peramban, cookie, serta maklumat peribadi sensitif seperti e-mel dan akaun bank semasa log masuk. Apple juga telah mengesahkan dan menghantar pembaikan pada hari yang sama.
Bagi sistem Android untuk peranti mudah alih, ujian serangan menunjukkan bahawa rangkaian lubang ini boleh mengekstrak data peribadi tempatan seperti gambar melalui kelemahan USB pada telefon Pixel9 yang tidak dibuka kunci atau dalam keadaan skrin terkunci, dengan syarat terdapat sentuhan fizikal terhadap peranti. Google menyatakan bahawa isu ini telah ditangani.
Pada desktop dan server, Windows dan Linux sama-sama tidak terkecuali. Di sistem Windows, Claude menemukan kelemahan kritikal bernama CVE-2026-33096 (skor 7.5), di mana penyerang dapat menyebabkan server yang merespons permintaan HTTP/3 crash berulang-ulang tanpa memerlukan autentikasi atau interaksi pengguna; Microsoft telah merilis patch pada April 2026. Di sistem Linux, terhadap server yang menjalankan listener Multi-Path TCP, Claude menemukan kelemahan eksekusi kode jarak jauh tanpa klik (CVE-2026-98432) di dalam jaringan stack; tim peneliti berhasil memanfaatkan kelemahan tersebut dalam hanya 53 minit, dengan 48 minit digunakan untuk mengungkap pointer kernel dan 5 minit untuk mendapatkan akses root shell.
Secara keseluruhan, lima rantai serangan yang saling terhubung ini merangkumi risiko penuh dari pelarian kotak pasir V8, pengelakan dasar sumber yang sama, pembacaan data antaramuka peranti hingga eksekusi kod jauh peringkat kernel. Pakar industri menunjukkan bahawa kajian ini tidak hanya menunjukkan had tertinggi model besar terkini dalam penggalian kelemahan automatik dan pertembungan serangan-pertahanan, tetapi juga mengingatkan sistem keselamatan ekosistem perisian utama.