Linuxにゼロクリックでrootを取る連鎖を、未公開モデルが書いた — ポインタ漏洩に48分・シェルまで5分、負けた試行は機械を落とさない

Anthropic の Frontier Red Team が10月27日に出した発表は、脆弱性を見つけた報告ではない。動く攻撃連鎖を5本、モデルが書き切ったという報告である^[1]。 中でも Linux の例は、認証情報も利用者の操作もなしに、 multipath TCP の listener を持つサーバで root としてコマンドを実行する^[1]。 実証ではカーネルのポインタを1つ抜くまでに48分、 そこからシェルの実行に至るまでさらに5分かかった^[1]。 本紙がこの数字より重く見るのは、発表本文がその隣に書いた性質のほうである。 競合状態に負けた試行はハンドシェイクを失敗させるだけで、システム全体を落とさない^[1]。 だから攻撃側は成功するまで無期限にやり直せる^[1]。 止めることも落ちることも許されない機械にとって、この一文が今回の本題だと本紙は読む。 ただし使われたモデルは未公開の社内研究モデルであり^[1]、 5本の連鎖はいずれも「after initial prompting(最初の指示を与えたのち)」という 同じ前置きで始まっている^[1]。

5本の連鎖に何が書かれているか#

対象はブラウザとOSである。発表本文は、これらの製品の脆弱性は数十億人に影響しうると同時に、 世界で最もセキュリティ上重要なソフトウェアでもあるため、 モデルの脆弱性研究能力を測る指標(bellwether)になると位置づけている^[1]。 各件は協調的脆弱性開示の手続きに乗せられ、開発側に90日の修正期間と、 公開アドバイザリに含まれる範囲を超える詳細を論じるまでにさらに45日が置かれている^[1]。 つまり本稿が扱える数値は、意図的に絞られた側の数値である。

この5本の外にも、OpenBSD・FreeBSD・Linux での局所的な権限昇格、 広く使われているサンドボックス基盤の脱出、主要なWebアプリケーションの多数の脆弱性が 同じ作業の中で見つかったと書かれている^[1]。 ただし件数は示されていない^[1]。

Linux——48分と5分、そして「負けても落ちない」#

連鎖は2段である。第1段で攻撃側は遠隔から KASLR を破る。 競合状態を突いてカーネルに攻撃者が指定した長さの欄を読ませ、 余分なバイトを応答に乗せて返させる。その読み過ぎた分のどれかに カーネルのポインタが含まれていれば、アドレス空間の配置が分かる^[1]。 第2段は制御フローの奪取である。同じ use-after-free でバッファを溢れさせ、 コールバックのポインタを、通常のプロトコル機能を使って先にカーネルメモリ上へ 置いておいた payload のアドレスで上書きする。 カーネルがそのコールバックを呼ぶと、既存のカーネル関数の呼び出しが連鎖し、 最後に攻撃者が選んだシェルコマンドが root で走る^[1]。

数字そのものは、攻撃としては遅い。実証で48分と5分である^[1]。 53分かかる攻撃は、人が張り付いて監視している機械に対しては無理がある。 発表本文が注意を向けているのはそこではない。この競合状態を成立させている性質として挙げられているのは、 負けた試行がハンドシェイクを失敗させるだけでシステム全体を落とさないため、 意志のある攻撃者は成功するまで無期限に再試行できる、という点である^[1]。

発表本文は48分と5分の内訳までは書いていないので、 この時間のうちどれだけが再試行に費やされたのかは本稿では確定できない。 確定しているのは、失敗の痕跡として外に出るのが失敗したハンドシェイクだけだという点である^[1]。 カーネルパニックも再起動も発生しない。 稼働監視が落ちたプロセスや再起動を拾う設計になっている現場では、 この攻撃の進行中に鳴るアラームが無い。

Chrome の62件は、連鎖の4件とは別の数字である#

Chrome の連鎖に使われた脆弱性は4件である。V8 のヒープを破壊するもの、 V8 のメモリ領域サンドボックスを抜けて ASLR を無効化するもの(ここで ROP 連鎖により renderer プロセスを完全に掌握する)、CacheStorage の競合状態でサンドボックス外の メモリを読み特権プロセスの配置を知るもの、 そして Chrome の連携サインイン機構 FedCM の use-after-free である^[1]。

一方で62という数字は、この4件を指していない。 発表本文は「我々の発見を Google に報告した」として、Chrome 156 時点で62件の CVE が割り当てられ修正済み、全件が critical または high、 うち13件がサンドボックス脱出、21件が renderer の侵害に使えたものと書いている^[1]。 62件と連鎖の4件がどういう関係にあるのかは、発表本文に書かれていない^[1]。 連鎖1本の内訳として62件を読むと数が合わないので、本紙は一連の作業で報告した総数として扱う。

Safari——「単独では脆弱性でないもの」を組み合わせた#

Safari の連鎖は、本紙の読者にとって最も含意が広いと考える。 出発点は JavaScriptCore の use-after-free で、特定の TypedArray 操作が 解放済みメモリへの古いポインタ越しに書き込み、TypedArray のメタデータを上書きしていた^[1]。 WebKit の Gigacage はこの種の攻撃を、TypedArray のデータを別のメモリ領域に隔離することで 緩和する機構だが、その領域内の一部の変数が他の領域への添字に使われていたため、 Gigacage の外に対する任意の読み書きが得られた^[1]。 さらにサンドボックスの IPC 機構の脆弱性で、ディスク上の履歴・cookie・ セッションのデータベースが読めるようになった^[1]。 最後に、use-after-free でメモリ上の変数を上書きして SOP を無効化している^[1]。

この連鎖が興味深いのは、任意コード実行に一度も依存していないdata-only 攻撃だからだと発表本文は書いている^[1]。 やっているのは、ブラウザプロセスのメモリに対する完全な読み書きを使って、セキュリティフラグ1つ、オブジェクトの大きさ1つ、URL1つを書き換えることだけである^[1]。 そして発表本文は続けてこう書く。 これらの弱点のいくつかは単独では脆弱性ではなく、意図された挙動であり、 組み合わせたときに悪用可能になる^[1]。

本紙が先に未認証で届くOpenSSHのコードの約16%の回で扱ったのは、個々の穴を直す進め方が規模の面で伸びないという論点だった。 今回の Safari の記述は、その裏側から同じ場所を指している。 個々の穴を直す進め方は、穴ではない部品の組み合わせに対しては そもそも適用先が無い。CVE を1件ずつ潰す運用では、この連鎖は在庫に載らない。

発表側が自分で書いた但し書き#

発表本文の結論は「歴史的に少数の専門チームの領域だった技能を、 いまはモデルが人の関与をほとんど伴わず行え、 誰でも実行し検証できる動く exploit を作って証明できる」である^[1]。 この主張と、同じ本文に書かれている事実を並べる。

発見側の作りについては、具体的な記述がある。 test-time compute を増やすこととスキャナの多様性が、 見つかる脆弱性の数を大きく増やすという^[1]。 多数のスキャンエージェントを並列に走らせる基盤を作り、 各スキャナを「混成全体に対して追加で何件を寄与したか」で評価し、 コードベース全体が処理されるようカバレッジを動的に追跡する^[1]。 戦略の幅は、純粋なカバレッジ(この関数に脆弱性はあるか)から、 目的駆動(このアプリに顧客データを危険にする経路はあるか)、 脅威モデル駆動(文書化された脅威モデルを迂回するものはあるか)までとされる^[1]。 確認済みの発見1件ごとに自動の variant 解析を走らせ、 発見はすべて標準化された検証とリスク評定の工程を通る^[1]。 防御側への推奨は、既存の積み残しを直すのは問題の半分にすぎず、 残る半分は新しい脆弱性が入ってくる速度を下げることであり、 そのために PR の時点でスキャンすることだとしている^[1]。

フィジカルAIから見て、何が動いたのか#

本紙が止められないOTに残る時間差で書いた構図は、発見量が増えても、稼働中の機械では修正の適用が工程の都合で待たされる、 というものだった。今回の発表は、その待ち時間の反対側に数字を置いた。 待っている側が狙われたときに、攻撃の完成までにどれだけかかるのか。 Linux の例では53分である^[1]。 しかもその53分のあいだ、機械は落ちない^[1]。

ロボットの制御系で、これがそのまま成立すると書くつもりはない。 成立条件は MPTCP の listener を持つ Linux であり^[1]、 発表本文はロボットにも組込みにも触れていない。 それでも効く点を2つだけ挙げる。

1つは、異常の見え方である。物理側の作法はフェイルセーフで、 異常時は安全側に倒し、倒れたことが分かるようにする。 本紙が利用規約の更新の回で見たとおり、自律的に物理行動をとる装置に要求されるのは、 観察でき、停止でき、切断されても安全な状態を保つことだった。 今回報告された競合状態が通したのは、その逆である。 失敗が外に出ないので、攻撃の進行は観察の対象にならない^[1]。 停止と切断の設計がどれだけ丁寧でも、起動すべき条件が検知されないのであれば発火しない。 ロボットを自律運用する側が自分の装置について答えるべき問いは、 「侵入されたら止まるか」ではなく「侵入の途中が見えるか」になる。

もう1つは、組み合わせの側である。Safari の連鎖に使われた弱点のいくつかは、 単独では脆弱性ではなく意図された挙動だった^[1]。 ロボットの制御系は、OSと通信スタックとミドルウェアと動作計画の層が それぞれ別の既定値を持って積み上がっている。 本紙が封じ込めを環境の層に置くの回で評価した配置——権限の境界を、学習された方策の内側ではなく環境の側に置く——は いまも妥当だと考える。ただし今回の報告は、 その環境の側の部品がどれも単独では正しいまま、 組み合わせで境界を失う形があることを、動く実証付きで示した。 層ごとの監査では在庫に載らない形である。

最後に、防御側に渡される道具のほうを見ておく。 発表本文は Cyber Verification Program の拡張版を出したとして、 資格を満たすセキュリティ専門家に対し、高度なサイバー能力と緩めた blocking classifier を使えるようにしたと書いている^[1]。 対象には Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1 と、 今後の新しいモデルが含まれる^[1]。 PR 時点のスキャンのために公開された Claude Code プラグインもある^[1]。 つまりこの発表は、能力の所在を未公開モデルに置いたまま、安全側の制約を外す窓口を審査制で開けるという形を取っている。 防御が先に手当てできるかは、審査を通る側の速度と、 止められない機械を抱えた側が更新に使える停止枠の数で決まる。 前者は今回数字が出た。後者について、本紙が知っている数字はまだ無い。