مدل منتشرنشده‌ی Anthropic پنج زنجیره‌ی نفوذ ساخت؛ از Chrome تا لینوکس

تیم امنیتی شرکت Anthropic می‌گوید یک مدل منتشرنشده‌ی Claude با کمترین دخالت انسان، چند باگ جدا را به اکسپلویت‌های کامل برای مرورگر، موبایل، ویندوز و لینوکس تبدیل کرده است. در این مقاله ماجرا، جزئیات فنی، شک‌وتردیدها و کارهایی که باید انجام دهید را مرور می‌کنیم.

۱. ماجرا چیست و چه کسی اعلام کرد؟

تیم Frontier Red Team شرکت Anthropic در یک پست پژوهشی اعلام کرد که یکی از مدل‌های داخلی و منتشرنشده‌اش طی چند ماه گذشته آسیب‌پذیری‌های امنیتی را پیدا کرده و آن‌ها را به‌هم زنجیر کرده است تا به اکسپلویت‌های اثبات‌مفهوم کار‌کننده برسد. این اکسپلویت‌ها در محیط آزمایشگاهی ساخته شده‌اند و Anthropic می‌گوید هیچ‌کدام در حمله‌های واقعی دیده نشده است.

نکته‌ی جالب توضیح خود شرکت است: هر مورد با «پرامپت اولیه» شروع شده و پس از آن مدل با دخالت بسیار کم انسان کار را جلو برده است. البته گزارش کامل گفت‌وگوها منتشر نشده و بنابراین نمی‌دانیم هر زنجیره دقیقاً چقدر نیاز به هدایت داشته است. نام مدل هم اعلام نشده و فقط به آن «مدل پژوهشی داخلی» گفته شده است.

اگر تازه با دنیای هوش مصنوعی و شرکت‌های بزرگ این حوزه آشنا شده‌اید، پیشنهاد می‌کنیم مقاله‌ی OpenAI چیست؟ را بخوانید و برای دنبال کردن تازه‌ترین رویدادها هم به بخش اخبار هوش مصنوعی سر بزنید.

۲. «زنجیره‌ی نفوذ» یعنی چه؟

در امنیت سایبری، یک باگ تنها معمولاً برای رسیدن به کنترل کامل کافی نیست. مهاجم باید چند ضعف را پشت‌سرهم استفاده کند؛ مثلاً اول حافظه را خراب کند، بعد از جعبه‌ی امن مرورگر بیرون بیاید و در نهایت کدی روی سیستم اصلی اجرا کند. به این ترکیب «exploit chain» یا زنجیره‌ی نفوذ می‌گویند.

ساختن چنین زنجیره‌ای سخت‌ترین بخش کار است، چون هر حلقه باید دقیقاً با حلقه‌ی بعدی جور شود. تا امروز این کار بیشتر در اختیار تیم‌های بسیار ماهر بوده و ماه‌ها زمان می‌برده است. ادعای Anthropic این است که مدل هوش مصنوعی حالا می‌تواند هم باگ‌ها را پیدا کند و هم آن‌ها را به هم وصل کند و در نهایت نمونه‌ای اجرایی تحویل دهد.

تفاوت پیدا کردن باگ و ساختن اکسپلویت

پیدا کردن یک باگ یعنی تشخیص اینکه کدی رفتار نادرستی دارد. ساختن اکسپلویت یعنی نشان دادن اینکه این رفتار واقعاً به نفوذ منجر می‌شود. دومی بسیار دشوارتر است و دقیقاً همان چیزی است که این خبر را مهم کرده است.

۳. نمونه‌ی Chrome: چهار باگ، یک کلیک

طبق گزارش‌ها، زنجیره‌ی کروم از چهار آسیب‌پذیری ساخته شده است. اول، خرابی حافظه در موتور جاوااسکریپت V8 که با یک صفحه‌ی مخرب فعال می‌شود. دوم، فرار از جعبه‌ی امن حافظه‌ی V8 و گرفتن کنترل پردازه‌ی رندر. سوم، یک شرایط رقابتی در CacheStorage که اجازه می‌دهد حافظه‌ای خارج از محدوده خوانده شود و نقشه‌ی پردازه‌ی دارای دسترسی بالاتر مرورگر به دست بیاید. چهارم، یک خطای use-after-free در FedCM، همان بخشی که ورود به حساب‌ها را مدیریت می‌کند، و در نهایت اجرای کد بیرون از sandbox.

نتیجه‌ی نمایشی ساده بود: با بارگذاری یک صفحه روی کروم استاندارد در macOS، برنامه‌ی ماشین‌حساب در چند ثانیه باز شد. Anthropic می‌گوید در مجموع ۶۲ آسیب‌پذیری کروم را گزارش کرده که همه بحرانی یا مهم بوده‌اند و ۱۳ مورد از آن‌ها فرار از sandbox است. همه تا نسخه‌ی ۱۵۶ کروم رفع شده‌اند. در یادداشت‌های انتشار گوگل هم از «یک پژوهشگر Anthropic با کمک Claude» برای بخشی از رفع‌ها قدردانی شده، هرچند نه برای هر ۶۲ مورد.

۴. نمونه‌ی لینوکس: دسترسی روت از راه دور

این مورد از نظر اثر، خطرناک‌ترین بخش ماجرا است. زنجیره‌ی لینوکس از یک خطای use-after-free از نوع شرایط رقابتی در پشته‌ی شبکه‌ی هسته استفاده می‌کند و روی سرورهایی کار می‌کند که یک شنونده‌ی multipath TCP دارند. نیازی به رمز عبور یا تعامل کاربر نیست.

در مرحله‌ی اول، مدل از همان باگ رقابتی استفاده می‌کند تا هسته یک اشاره‌گر را لو بدهد و سد KASLR دور زده شود. در مرحله‌ی دوم، با سرریز بافر یک اشاره‌گر فراخوانی بازنویسی می‌شود تا به بار مهاجم در حافظه‌ی هسته برسد و در نهایت فرمان دلخواه با دسترسی روت اجرا شود. زمان گزارش‌شده حدود ۴۸ دقیقه برای نشت آدرس و ۵ دقیقه‌ی دیگر تا رسیدن به شل است. اگر مسابقه را ببازد، سیستم کرش نمی‌کند و فقط دست‌دادن شبکه شکست می‌خورد؛ یعنی مهاجم می‌تواند دوباره امتحان کند.

شناسه‌ی CVE-2026-98432 با امتیاز ۹٫۸ برای این ضعف ذکر شده و وصله‌ی آن از ۱۵ اکتبر به هسته‌ی اصلی لینوکس اضافه شده و روی شاخه‌های پایدار هم بازنشر شده است. Anthropic همچنین از آسیب‌پذیری‌های ارتقای دسترسی محلی در OpenBSD و FreeBSD خبر داده است.

۵. Safari، اندروید و ویندوز؛ سه سناریوی دیگر

Safari: خواندن داده‌ی سایت‌های دیگر

زنجیره‌ی Safari اجرای کد دلخواه ندارد، اما با گرفتن دسترسی خواندن و نوشتن به حافظه‌ی مرورگر، سیاست هم‌مبدأ را خاموش می‌کند. نتیجه این است که یک صفحه‌ی مخرب می‌تواند تاریخچه، کوکی‌ها و نشست‌های واردشده‌ی سایت‌های دیگر مثل ایمیل یا بانک را بخواند. اپل گزارش را همان روز تأیید کرده و وصله‌ی آن عرضه شده است.

اندروید: عبور از قفل صفحه

در گوشی Pixel 9، سه آسیب‌پذیری با هم چهار لایه‌ی حفاظتی را دور زده‌اند. بدون این زنجیره، گوشی قفل‌شده انتقال داده را نمی‌پذیرد، اما با آن، عکس‌ها و اطلاعات شخصی از گوشی گم‌شده یا دزدیده‌شده بیرون کشیده می‌شود. این حمله به دسترسی فیزیکی و اتصال USB نیاز دارد و گوگل رفع آن را تأیید کرده است.

ویندوز: ازکارانداختن سرور

در ویندوز، مدل فقط فایل اجرایی را در اختیار داشته و با ابزار Ghidra یک بازنویسی توضیح‌دار به زبان C ساخته و آن را با باینری مقایسه کرده است. حاصل یک خطای خواندن خارج از محدوده در بخش QUIC هسته بود که با چند بسته‌ی شبکه سرور را از کار می‌اندازد. این حمله اجرای کد یا سرقت داده ندارد و فقط انکار سرویس است، اما Anthropic تخمین می‌زند چند میلیون سرور متصل به اینترنت روی مسیر آسیب‌پذیر باشند.

۶. چرا این خبر برای هوش مصنوعی مهم است؟

اهمیت ماجرا فقط در خود باگ‌ها نیست. ماجرا درباره‌ی سرعت و مقیاس است. Anthropic توضیح می‌دهد که از پلتفرمی استفاده کرده که چندین عامل اسکن‌کننده را هم‌زمان اجرا می‌کند، پوشش کامل پایگاه کد را دنبال می‌کند و بازده هر اسکنر را با تعداد باگ‌های اضافه‌ای که پیدا می‌کند می‌سنجد. راهبردها هم از «در این تابع آسیب‌پذیری هست؟» تا رویکردهای هدف‌محور و مبتنی بر مدل تهدید متغیر بوده‌اند.

این رویکرد با مفهوم عامل‌های خودکار کاملاً هم‌خوان است. اگر دوست دارید بدانید هوش مصنوعی در دنیای واقعی چه توانایی‌ها و محدودیت‌هایی دارد، مقاله‌ی پتانسیل و محدودیت‌های هوش مصنوعی در دنیای واقعی مکمل خوبی برای این بحث است.

از طرف دیگر، همین توان برای مدافعان هم ارزشمند است. شرکت‌ها می‌توانند پیش از ادغام هر تغییر کد، آن را اسکن کنند و باگ‌ها را قبل از ورود به محصول بگیرند. Anthropic هم افزونه‌ای برای Claude Code منتشر کرده که راهنمایی امنیتی را وارد فرایند توسعه می‌کند.

۷. شک‌وتردیدها؛ چه چیزی هنوز تأیید نشده؟

پیش از هیجان‌زده شدن، چند نکته را باید در نظر گرفت. اول اینکه منبع اصلی تمام ادعاها خود Anthropic است. وصله‌ها و قدردانی‌های رسمی قابل بررسی هستند، ولی سهم واقعی مدل در هر مرحله را نمی‌توان از بیرون سنجید.

دوم اینکه بعضی گزارش‌ها به ناهمخوانی‌هایی اشاره کرده‌اند. مثلاً رکورد CVE ویندوز به جای QUIC از HTTP.sys حرف می‌زند و برای رکورد لینوکس هم توضیح متفاوتی ثبت شده است. همچنین برای رفع اندروید هنوز سند عمومی روشنی پیدا نشده است. این موارد لزوماً به معنی نادرستی ادعا نیست، اما نشان می‌دهد باید منتظر جزئیات بیشتر ماند.

سوم، گزارش هزینه‌ی محاسباتی یا تعداد تلاش‌های ناموفق منتشر نشده است. بدون این اعداد نمی‌توان فهمید این کار برای یک مهاجم معمولی چقدر مقرون‌به‌صرفه است. برای مقایسه‌ی دقیق‌تر عملکرد مدل‌ها، مقاله‌ی مقایسه‌ی ChatGPT و DeepSeek نشان می‌دهد چرا نتیجه‌ی آزمون‌ها همیشه باید با دقت خوانده شود.

۸. افشای مسئولانه؛ سیاست ۹۰ و ۴۵ روز

Anthropic می‌گوید همه‌ی یافته‌ها طبق سیاست افشای هماهنگ‌شده به فروشندگان گزارش شده است. به این معنی که توسعه‌دهندگان ۹۰ روز فرصت وصله دارند و پس از آن ۴۵ روز دیگر هم Anthropic جزئیات فراتر از اطلاعیه‌ی عمومی را منتشر نمی‌کند. پس انتظار می‌رود جزئیات فنی کامل و امکان بررسی مستقل بعد از پایان این بازه در دسترس قرار بگیرد.

این شرکت همچنین برنامه‌ی Cyber Verification Program خود را گسترش داده که به متخصصان امنیتی تأییدشده اجازه می‌دهد به مدل‌های Claude Opus 5.5، Sonnet 5.5 و Mythos 5.1 با محدودیت‌های کمتر دسترسی داشته باشند. هدف این است که مدافعان از توان مدل‌ها برای شکار باگ بهره ببرند.

۹. کاربران و مدیران سیستم همین حالا چه کنند؟

خبر خوب این است که بیشتر آسیب‌پذیری‌های گزارش‌شده پیش‌تر وصله شده‌اند. بنابراین مهم‌ترین توصیه‌ها ساده و عملی هستند:

• مرورگر Chrome را به نسخه‌ی ۱۵۶ یا بالاتر ارتقا دهید و به‌روزرسانی خودکار را فعال نگه دارید.
• سیستم‌عامل‌های اپل را به آخرین نسخه برسانید تا وصله‌ی Safari اعمال شود.
• مدیران سرور لینوکس باید هسته را به نسخه‌ای با وصله‌ی CVE-2026-98432 ارتقا دهند و در صورت امکان، شنونده‌ی multipath TCP غیرضروری را غیرفعال کنند.
• برای گوشی اندروید، وصله‌های امنیتی ماهانه را نصب کنید و دسترسی USB روی صفحه‌ی قفل را محدود نگه دارید.
• تیم‌های توسعه می‌توانند اسکن امنیتی خودکار را به مرحله‌ی بازبینی تغییرات کد اضافه کنند.

اگر در کسب‌وکار خود از هوش مصنوعی استفاده می‌کنید، مقاله‌ی اهمیت هوش مصنوعی در کسب‌وکار را هم ببینید و امنیت را بخشی از برنامه‌ی پذیرش آن بدانید.

۱۰. پرسش‌های متداول (FAQ)

آیا این اکسپلویت‌ها در حمله‌ی واقعی استفاده شده‌اند؟

طبق گفته‌ی Anthropic، خیر. این نمونه‌ها در آزمایشگاه ساخته شده‌اند و موردی از استفاده‌ی آن‌ها در حمله‌های واقعی گزارش نشده است.

مدل مورد نظر کدام است و آیا در دسترس است؟

Anthropic فقط از «مدل پژوهشی داخلی منتشرنشده» نام برده و نام یا زمان عرضه‌ی آن را اعلام نکرده است. پس فعلاً برای عموم در دسترس نیست.

آیا باید نگران شد؟

نگرانی بیش از حد لازم نیست، ولی به‌روز نگه داشتن نرم‌افزار حالا مهم‌تر از قبل است. چون ابزارهای هوش مصنوعی فاصله‌ی میان کشف باگ و ساخت اکسپلویت را کوتاه‌تر می‌کنند، تأخیر در نصب وصله هزینه‌ی بیشتری دارد.

این خبر برای مدافعان چه معنایی دارد؟

همان توانی که مهاجم را قوی‌تر می‌کند، به مدافع هم کمک می‌کند. اسکن خودکار کد پیش از انتشار و استفاده از برنامه‌ی تأیید امنیتی می‌تواند بخشی از این مزیت را به تیم‌های دفاعی برساند.

آیا ابزارهای هوش مصنوعی عمومی هم چنین کاری می‌کنند؟

مدل‌های عمومی معمولاً با محدودیت‌های ایمنی عرضه می‌شوند و این مورد مربوط به یک مدل پژوهشی داخلی است. برای کار با ابزارهای عمومی بهتر است پرامپت‌نویسی را درست یاد بگیرید؛ مقاله‌ی آموزش نوشتن پرامپت برای مبتدیان نقطه‌ی شروع خوبی است. همچنین در آموزش‌های ChatGPT مطالب کاربردی بیشتری پیدا می‌کنید.