Anthropic: Geheime KI knackt gesperrtes Android-Handy und Chrome-Sandbox

Laut Anthropic hat ein noch unveröffentlichtes KI-Modell Sicherheitslücken entdeckt und zu funktionsfähigen Exploits gegen Chrome, Safari, Android, Windows und Linux kombiniert. Das Unternehmen hat diese in kontrollierten Umgebungen getestet und die Schwachstellen nach eigenen Angaben den betroffenen Herstellern gemeldet. Diese haben inzwischen für alle gemeldeten Lücken Fehlerbehebungen veröffentlicht.

Das Frontier Red Team des Unternehmens hat fünf Angriffsketten beschrieben, die das Modell nach anfänglichen Vorgaben mit begrenzter menschlicher Unterstützung entwickelt hat. Anthropic hat weder den Namen des Modells noch einen möglichen Verfügbarkeitstermin genannt. Auch der Beitrag der Forscher in den einzelnen Entwicklungsphasen ist nicht vollständig erläutert worden.

In einem Test hat die KI vier Chrome-Schwachstellen kombiniert, um die Sicherheits-Sandbox des Browsers zu verlassen und außerhalb davon Code auszuführen. Bei einer Vorführung hat sich auf einem Mac wenige Sekunden nach dem Laden einer manipulierten Webseite die Taschenrechner-App geöffnet, ohne weitere Nutzereingaben. In Safari hat ein anderer Angriff eine Sicherheitsregel umgangen, die Webseiten daran hindert, auf Daten anderer Webseiten zuzugreifen. Dadurch könnten Informationen von Seiten offengelegt werden, bei denen ein Nutzer angemeldet ist.

Die übrigen Vorführungen haben Android, Windows und Linux betroffen. Ein Android-Exploit konnte Fotos und andere Daten von einem gesperrten Smartphone auslesen, hat dafür aber physischen Zugriff per USB benötigt. Ein Windows-Angriff konnte einen Server, der HTTP/3-Anfragen entgegennimmt, wiederholt zum Absturz bringen. Das Ausführen von Code oder der Zugriff auf gespeicherte Daten ist damit allerdings nicht möglich gewesen.

Der Linux-Exploit hat noch weiterreichende Zugriffe ermöglicht: Ein Angreifer konnte über das Netzwerk vollständige Administratorrechte auf einem Server erlangen, ohne Anmeldung oder Nutzerinteraktion. Dafür ist jedoch eine bestimmte Netzwerkkonfiguration erforderlich gewesen. Der Angriff würde somit nicht auf jedem Linux-System funktionieren.

Anthropic wertet die Ergebnisse als Beleg dafür, dass KI Forschern helfen könnte, Schwachstellen zu finden und zu schließen, bevor Angreifer sie ausnutzen. Zugleich verdeutlichen die Vorführungen die Risiken von Modellen, die einzelne Sicherheitslücken zu vollständigen Angriffen kombinieren können. Es handelt sich allerdings um Labortests und nicht um Belege dafür, dass diese Exploit-Ketten bei tatsächlichen Angriffen eingesetzt worden sind.