Der eigentliche Anspruch der Veröffentlichung liegt nicht in einem einzelnen Bug, sondern darin, dass ein Modell mehrere voneinander unabhängige Schwachstellen fand und zu einem lauffähigen Exploit kombinierte — eine Arbeit, die nach Darstellung des Unternehmens bisher wenigen spezialisierten Teams vorbehalten war. Diese Fähigkeitsbehauptung stützt sich allein auf Anthropics eigene Darstellung. Überprüfbar sind dagegen die Patches sowie die Tatsache, dass Apple und Google Anthropic und das Modell Claude für einzelne Korrekturen namentlich nennen.

Nicht nachvollziehbar ist, welchen Anteil das Modell an jeder Kette tatsächlich hatte. Anthropic spricht von lediglich „anfänglichem Prompting" und „wenig menschlicher Beteiligung", schlüsselt aber nicht auf, was ein Mensch in den einzelnen Schritten beitrug, und nennt das Modell nicht beim Namen — es bleibt bei der Bezeichnung als unveröffentlichtes, internes Forschungsmodell. Für die einzige Lücke mit eigenem öffentlichem Eintrag, den Windows-Fehler, weist dieser Eintrag überhaupt keinen Finder aus.

In der Chrome-Kette nutzte das Modell nacheinander vier Schwachstellen. Eine präparierte Seite beschädigte zunächst Speicher in V8, der JavaScript-Engine von Chrome. Eine zweite Lücke brach aus der Speicher-Sandbox von V8 aus und übernahm die Kontrolle über den Teil von Chrome, der die Seite rendert. Eine Race Condition in der Funktion CacheStorage erlaubte diesem Code anschließend, Speicher auszulesen, den er nicht erreichen dürfte, und so das Layout des höher privilegierten Browser-Prozesses zu ermitteln. Ein abschließender Use-after-free-Fehler in FedCM, der Anmeldefunktion von Chrome, ließ den Exploit schließlich Code vollständig außerhalb der Sandbox ausführen.

Anthropic gibt an, Google insgesamt 62 Schwachstellen gemeldet zu haben, die CVEs erhielten und mit Chrome 156 behoben wurden — sämtlich als kritisch oder hoch eingestuft, darunter 13 Sandbox-Ausbrüche. Googles Release Notes nennen „Xinyang Ge von Anthropic, unterstützt durch Claude" für bestimmte Chrome-Fixes, allerdings nicht für alle 62.

Die Safari-Kette funktioniert grundlegend anders, weil sie überhaupt keinen Code ausführt. Sie verkettet Fehler, um vollen Lese- und Schreibzugriff auf den Speicher des Browsers zu erlangen, und ändert dann einen einzigen Wert, um die Same-Origin-Policy abzuschalten — jene Regel, die verhindert, dass eine Website die Daten einer anderen liest. Ist diese Regel deaktiviert, kann eine bösartige Seite Verlauf und Cookies des Nutzers auslesen und im angemeldeten Zustand Anfragen an andere Seiten senden. Apple hat den Use-after-free im Zentrum der Kette in iOS und iPadOS 26.5.2 behoben und nennt dafür „Milad Nasr und Nicholas Carlini mit Claude, Anthropic".

Die Windows-Kette ist die einzige mit unabhängigem Papierweg und zugleich die eingeschränkteste: Es handelt sich um einen Denial-of-Service-Angriff. Wenige Netzwerkpakete bringen die Maschine zum Absturz, Wiederholung hält sie unten; Codeausführung oder Datendiebstahl sind nicht möglich. Anthropic beschreibt die Lücke als Out-of-bounds-Read in der QUIC-Verarbeitung des Windows-Kernels. Der öffentliche Eintrag zu der referenzierten CVE-2026-33096 nennt dagegen HTTP.sys, den in Windows eingebauten Verarbeiter für Web-Anfragen, und bewertet den Fehler mit 7,5 von 10. Keine offene Quelle verbindet die beiden Beschreibungen als dieselbe Komponente. Da der CVE-Eintrag keinen Finder nennt, beruht Anthropics Urheberschaft hier allein auf dem eigenen Beitrag. Stand Ende Oktober stufte die Schwachstellen-Anreicherung der US-Regierung den Fehler als nicht ausgenutzt ein; im CISA-Katalog bekannter ausgenutzter Schwachstellen war er nicht enthalten.

Die Linux-Kette ist hinsichtlich der Auswirkung die schwerwiegendste: Sie führt Befehle als root über das Netzwerk aus, ohne Anmeldung. Voraussetzung ist, dass auf dem Zielserver ein Multipath-TCP-Listener läuft. Das Modell leakt zunächst eine Kernel-Speicheradresse, um die Schutzmaßnahme KASLR zu umgehen, und nutzt dann denselben Race-Condition-Fehler erneut, um das Programm auf bereits vom Angreifer platzierten Code umzulenken — Ergebnis ist eine Root-Shell. Nach Angaben von Anthropic benötigte der Proof of Concept 48 Minuten, um die Adresse zu leaken, und weitere fünf bis zur Shell; ein fehlgeschlagener Versuch bringe das System nicht zum Absturz, sodass ein Angreifer beliebig oft erneut probieren könne.

Das Unternehmen verknüpft diese Kette mit CVE-2026-98432, einem Kernel-Use-after-free mit Bewertung 9,8, der am 15. Oktober upstream behoben wurde. Der öffentliche Eintrag zu dieser CVE beschreibt allerdings einen IPv4-TCP-Fix und keinen Multipath-TCP-Fix; die Verbindung beider Angaben stellt allein Anthropics Beitrag her.

Anthropic ordnet die Arbeit als Hilfe für Verteidiger ein. Jede Lücke sei im Rahmen einer Richtlinie zur koordinierten Offenlegung gemeldet worden, die Entwicklern 90 Tage zum Patchen einräumt und weitere 45 Tage, bevor Details über ein öffentliches Advisory hinaus erörtert werden. Sicherheitsteams verweist das Unternehmen auf sein erweitertes Cyber Verification Program, das geprüften Fachleuten Zugang zu Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1 gibt. Die Begründung für die Veröffentlichung formuliert Anthropic so: „Jetzt ist es etwas, das Modelle mit wenig menschlicher Beteiligung tun können — und dann beweisen, indem sie einen funktionierenden Exploit produzieren, den jeder ausführen und verifizieren kann."