Le modèle interne d’Anthropic enchaîne cinq exploits fonctionnels sur Chrome, Safari, Android, Windows et Linux

27 octobre 2026. Anthropic publie « Discovering and exploiting vulnerabilities in critical, real-world software with Claude », un billet de recherche qui détaille cinq chaînes d’exploitation fonctionnelles construites par un modèle de recherche interne non diffusé. Les cibles : Chrome, Safari, Android, Windows et le noyau Linux. 28 octobre 2026. Le résultat fait le tour de la presse spécialisée. Le point qui compte : ce qui était l’apanage de quelques équipes d’élite — découvrir plusieurs failles puis les enchaîner en un exploit exécutable — est désormais une capacité de modèle, démontrée par des proofs of concept que n’importe qui peut relancer.

Cinq chaînes, cinq architectures défensives défaites

La démonstration d’Anthropic vaut par sa diversité. Chaque chaîne a dû traverser une pile de défenses différente, et le modèle les a toutes contournées après une invite initiale, « avec peu ou pas d’interaction utilisateur ».

Chrome — exécution de code à distance en un clic. Le modèle a découvert une faille dans V8, le moteur JavaScript, permettant de corrompre le tas ; une seconde pour sortir de la sandbox mémoire de V8 et vaincre l’ASLR via une chaîne ROP ; une condition de course dans CacheStorage pour lire la mémoire hors sandbox et apprendre la disposition du processus navigateur privilégié ; enfin un use-after-free dans FedCM pour exécuter du code arbitraire hors sandbox. Google a attribué 62 CVE, toutes corrigées dans Chrome 156, dont 13 évasions de sandbox.

Safari — contournement de la politique de même origine. Le modèle a bâti une attaque « data-only » qui ne repose sur aucune exécution de code : un use-after-free dans JavaScriptCore, une lecture/écriture arbitraire hors Gigacage, puis une faille dans l’IPC de la sandbox pour lire l’historique, les cookies et les sessions sur disque, et enfin la désactivation du drapeau SOP. Apple a accusé réception le jour même et publié un correctif.

Android — contournement de l’écran verrouillé. Sur un Pixel 9 physique, le modèle a combiné analyse du code source, rétro-ingénierie des binaires Google Play services et tests en direct pour extraire photos et données personnelles d’un téléphone volé sans le déverrouiller.

Windows — déni de service à distance. Le modèle a identifié, par analyse binaire (avec Ghidra), une lecture hors limites dans l’implémentation QUIC du noyau Windows : quelques paquets envoyés à un serveur HTTP/3 suffisent à le faire planter et redémarrer. La faille, corrigée par Microsoft, porte la référence CVE-2026-33096 ; Anthropic estime que « plusieurs millions » de serveurs l’écoutaient.

Linux — exécution de code à distance zero-click. Le modèle a transformé une condition de course UAF dans la pile réseau MPTCP du noyau en exécution de commandes root sans identifiant ni interaction. Le proof of concept met 48 minutes à fuiter un pointeur noyau (vaincre le KASLR) puis cinq minutes de plus pour obtenir un shell. La faille, corrigée en amont et rétroportée, est la CVE-2026-98432.

Ce qui est vrai, et ce qui ne l’est pas

Il faut lire ce résultat avec rigueur. Ces exploits ont été produits en laboratoire, après qu’un opérateur a sollicité le modèle ; Anthropic précise qu’aucun n’a été observé dans une attaque réelle. Ce n’est pas une campagne offensive, c’est un signal de capacité.

La nuance ne diminue pas la portée. Le billet démontre qu’un modèle frontière peut, avec peu d’implication humaine, couvrir l’intégralité du cycle : découverte de la vulnérabilité, construction de la chaîne, preuve par un exploit exécutable. Historiquement, ce travail exigeait des équipes spécialisées, des mois d’effort et des compétences rares. La démonstration en réduit le coût marginal à celui d’une requête bien formulée.

Anthropic assume cette lecture. Les auteurs — Nicholas Carlini, David Dworken et cinq collègues — écrivent noir sur blanc que « les modèles frontière ont la capacité de découvrir et de combiner plusieurs vulnérabilités en un exploit fonctionnel », une compétence « historiquement réservée à quelques équipes spécialisées ».

D’un exploit artisanal à un exploit à la demande

Ce résultat s’inscrit dans un arc long. Le fuzzing — qu’AFL a popularisé — trouvait des crashs, rarement des chaînes complètes. La Cyber Grand Challenge de la DARPA en 2016 a démontré la génération et le correctif automatisés d’exploits, mais dans un bac à sable et sur des cibles simplifiées. Huit ans plus tard, la démonstration d’Anthropic porte sur des produits réels, déployés, avec des défenses en production — et produit des exploits exécutables, vérifiables par quiconque.

La formule « avec peu ou pas d’interaction utilisateur » est le point de bascule. Elle signifie que le goulot d’étranglement humain — l’expert qui lit le code, comprend la faille, conçoit la primitive, assemble la chaîne — s’efface. Le coût marginal de la découverte et de l’exploitation s’effondre vers celui d’une requête bien formulée, ce qui change la nature de la course aux vulnérabilités.

La divulgation en est transformée. Anthropic applique une politique de 90 jours pour corriger, puis 45 jours supplémentaires avant de détailler au-delà des avis publics — une norme héritée du Project Zero de Google. Mais quand le découvreur est un modèle capable de produire des dizaines de failles par session, le volume et le rythme de cette divulgation deviennent un enjeu en soi : les éditeurs devront absorber un flux de signalements que leurs équipes de sécurité n’ont jamais été dimensionnées pour traiter.

La nuance d’équilibre, enfin : ces chaînes ont été produites sur commande, dans un laboratoire, avec un opérateur humain. L’autonomie — un modèle qui découvre et exploite sans être sollicité — reste une question ouverte, et Anthropic ne rapporte aucune utilisation réelle par un attaquant. Le signal est une capacité démontrée, pas encore une campagne observée.

Deux enseignements de méthode

Le billet contient deux enseignements opérationnels qui dépassent le cas d’Anthropic.

Le test-time compute et la diversité des scanners augmentent le taux de découverte. L’équipe a construit une plateforme qui lance de nombreux agents de scan en parallèle, mesure chacun par le nombre de vulnérabilités nouvelles qu’il apporte, et ajuste dynamiquement la couverture. Les stratégies vont de la couverture brute (« y a-t-il une faille dans cette fonction ? ») à l’analyse de modèle de menace (« quoi contourne le modèle de menace documenté ? »), avec une analyse de variantes automatisée sur chaque résultat confirmé.

Corriger l’existant ne résout que la moitié du problème. L’autre moitié consiste à réduire le rythme auquel les failles entrent dans le code — donc à scanner au moment de la pull request. Anthropic a d’ailleurs publié un plugin Claude Code de « security guidance » qui injecte cette vérification dans le cycle de développement.

Ce que cela change pour les défenseurs

La conclusion pratique n’est pas « paniquez », mais « armez-vous des mêmes modèles avant les attaquants ». Anthropic a élargi son Cyber Verification Program, qui donne accès à ses modèles les plus capables (Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1) aux professionnels de la sécurité qualifiés, avec des classificateurs de blocage allégés.

Le vrai curseur n’est plus « qui sait trouver les failles », mais « qui trouve et corrige en premier ». Quand la découverte devient bon marché, la fenêtre entre la découverte et le correctif devient le terrain de bataille — et la défense qui gagne est celle qui scanne son propre code avant que quelqu’un d’autre ne le fasse.

Anthropic suit par ailleurs une divulgation coordonnée : 90 jours pour corriger, puis 45 jours supplémentaires avant de détailler au-delà des avis publics. Les failles de cette démonstration sont donc déjà corrigées — le risque résiduel est chez ceux qui n’ont pas appliqué les mises à jour.

Verdict

Si vous développez ou exploitez du logiciel exposé, le signal est clair : intégrez le scan assisté par modèle dans votre pipeline, idéalement au moment de la pull request. Le coût est faible comparé au risque, et c’est précisément la recommandation d’Anthropic elle-même. Si vous êtes un professionnel de la sécurité, demandez l’accès au Cyber Verification Program : les mêmes modèles qui ont construit ces chaînes sont mis à disposition des défenseurs, et c’est là que le rapport de force se rééquilibre. Si vous lisez ceci en tant que simple exploitant, la leçon est plus banale : appliquez les correctifs de Chrome 156, de Windows et du noyau Linux sans délai, car la démonstration prouve que des exploits fonctionnels existent déjà quelque part — même si, pour l’instant, ils n’ont pas quitté le laboratoire.

Références

• Anthropic — Discovering and exploiting vulnerabilities in critical, real-world software with Claude (27 octobre 2026)
• The Hacker News — Anthropic’s Unreleased AI Model Chains Flaws Into Working Exploits (28 octobre 2026)
• NVD — CVE-2026-33096 (Windows QUIC)
• Tenable — CVE-2026-98432 (Linux MPTCP)
• Anthropic — Cyber Verification Program