AnthropicのAIモデルが2026年10月27日にChromeの62件のCVEを自律的に連鎖させ5本の攻撃チェーンを構築

AnthropicのFrontier Red Teamは2026年10月27日に研究報告を発表した。同チームの未公開内部モデルが、ほぼ人手を介さない状態で、Chrome・Safari・Android・Windows・Linuxのセキュリティ脆弱性を自律的に発見・連鎖させ、5本の実行可能な攻撃チェーンを形成した。Chromeチェーンは62件のCVE（サンドボックスエスケープ13件を含む）を基盤として、クリック不要のリモートコード実行を実現した。

事実の再構成

報告によると、同モデルは初期プロンプトを受けた後、Chromeを対象とした完全な脆弱性利用チェーンを構築した。具体的には、V8 JavaScriptエンジンのヒープメモリ破損脆弱性を発見し、V8メモリ領域のサンドボックスを突破してASLRを無力化、次にCacheStorageの競合状態を利用してブラウザプロセスのメモリレイアウトを読み取り、最後にFedCMのUse-After-Free脆弱性を悪用してサンドボックス外での任意コード実行を達成した。62件のCVEはすべてChrome 156で割り当て・修正済みであり、いずれも「Critical」または「High」の深刻度に分類され、うち13件がサンドボックスエスケープに該当する。

Safariチェーンもモデルが自律的に構築し、同一オリジンポリシーをバイパスして閲覧履歴やCookieなどのデータを読み取ることを実現した。モデルはJavaScriptCoreのUse-After-Free脆弱性を発見し、Gigacage分離を突破した後、サンドボックスのIPCメカニズムを利用してディスクデータを読み取り、最終的にセキュリティフラグを改ざんして同一オリジンポリシーを無効化した。Appleは提出当日に問題を確認し、迅速に修正した。

Androidチェーンはロック状態の端末を対象としたロック画面バイパスを実現した。モデルはソースコード解析・リバースエンジニアリング・実機テストを組み合わせ、USB転送制限・認証チェック・6桁認証コード検証・ファイル内容転送のハードコードチェックをそれぞれ回避し、写真などの情報を抽出した。

メカニズムの分析

モデルによる攻撃チェーン構築プロセスは、複数ステップにわたる自律的連鎖能力を示している。単一のメモリ破損脆弱性を起点として、サンドボックスエスケープ・アドレス空間配置ランダム化（ASLR）バイパス・プロセス間通信（IPC）の欠陥を段階的に組み合わせた。Chromeチェーンでは、レンダラープロセスを掌握した後にブラウザプロセスのサンドボックスをさらに突破しており、多層防御を段階的に崩す手法が確認できる。Safariチェーンは純粋なデータアクセス経路を採用し、任意コード実行に依存せず、メモリの読み書きのみでセキュリティフラグを改ざんした。

これらのチェーンはオープンソース・プロプライエタリ双方のソフトウェアを対象とし、ブラウザエンジン・サンドボックス機構・システムIPCといった重要コンポーネントに及ぶ。モデルはプロンプトによる誘導のもと、脆弱性の発見から利用チェーンの完全構築まで、継続的な人手介入なしに完遂した。

産業への影響

すべての脆弱性は協調的脆弱性開示（CVD）プロセスに従いベンダーへ報告され、修正が完了している。Chromeには90日間の修正期間と追加45日間の協議バッファが与えられた。本報告は防御的視点から初めて示したものであり、従来はトップクラスのレッドチーム専門家を必要とした脆弱性利用チェーンの組み合わせが、最先端AIによって自動的に実現可能となったことを意味する。

これはセキュリティ研究において、AIが複数プラットフォーム・複数コンポーネントにまたがる脆弱性の発見と連鎖を加速させ、ブラウザおよびOS各社の脆弱性管理サイクルに影響を与える可能性を示している。Androidチェーンが物理デバイスの実機テストを伴っていたことは、ハイブリッド解析（ソースコード・リバースエンジニアリング・バイナリ）におけるAIの応用可能性を示すものでもある。

戦略的考察

【分析】本報告はAIが攻撃チェーン構築において達成できる最低水準を測定したものであり、AIが遵守できる上限を測定した他の研究と合わせて、AIがインフラに与える影響の境界を浮かび上がらせている。ベンダーによる修正速度とAIの自律的発見速度の乖離は、今後の脆弱性開示とパッチ優先度付けを変容させる可能性があるが、具体的な影響は今後の実際の事例を通じて引き続き観察が必要だ。

【分析】歴史的に脆弱性利用チェーンの構築は人間の専門家が担う固有のスキルであったが、今やAIはプロンプトを与えられることで迅速に生成できるようになった。これは攻撃の参入障壁を引き下げる可能性があるものの、報告書はすべてのケースが既に修正済みであることを強調しており、未修正脆弱性の悪用リスクは示されていない。