Sind Firefox Nutzer aktuell gefährdet?

Die meisten beschriebenen Fehler wurden mit Firefox 148 behoben. Nutzer sollten Firefox aktuell halten; die zwei demonstrierten Exploits waren keine vollständigen Angriffe auf eine normale Installation.

Hat Claude selbstständig einen Browser gehackt?

Nein. Claude arbeitete mit bereitgestellten Fehlern in einer absichtlich entschärften Testumgebung und überwand dort in zwei Fällen eine Sicherheitsgrenze.

Warum sind 22 Funde bemerkenswert?

Mozilla stufte 14 davon als schwerwiegend ein. Das zeigt, dass Modelle komplexen Browsercode in kurzer Zeit auf echte Sicherheitsprobleme untersuchen können.

Claude findet 22 Firefox Sicherheitslücken

Worum es geht

Anthropic hat am 23. Oktober 2026 Details einer Zusammenarbeit mit Mozilla veröffentlicht. Claude Opus 4.6 untersuchte im Februar rund 6.000 C++ Dateien aus Firefox und meldete 112 auffällige Fälle. Daraus bestätigte Mozilla 22 Sicherheitslücken, von denen 14 als schwerwiegend eingestuft wurden. Die meisten Korrekturen erreichten Nutzer mit Firefox 148.

Die eigentliche Nachricht ist nicht nur die Zahl der Funde. Das Modell konnte zwei der entdeckten Fehler in einer eigens abgeschwächten Testumgebung auch in primitive Exploits verwandeln. Damit verschiebt sich die Grenze zwischen automatisierter Fehlersuche und automatisierter Ausnutzung, auch wenn ein Angriff auf einen normalen Browser nicht gelang.

Was Claude tatsächlich machte

Anthropic ließ das Modell zuerst bekannte Firefox Fehler in älteren Versionen reproduzieren. Danach suchte Claude im aktuellen Quellcode nach neuen Problemen. Einen Use After Free Fehler im JavaScript Motor meldete das System nach etwa 20 Minuten. Während Menschen diesen Fund prüften, erzeugte es weitere abstürzende Testfälle.

Für die Exploit Prüfung erhielt Claude eine virtuelle Maschine, bekannte Schwachstellen und einen Prüfer. Ziel war, eine lokale Datei zu lesen und ihren Inhalt an anderer Stelle zu schreiben. Rund 350 Versuche und etwa 4.000 US Dollar an API Guthaben führten bei zwei Fehlern zum Erfolg. Einer davon war CVE 2026 2796, eine Typverwechslung an der Grenze zwischen WebAssembly und JavaScript.

Warum das wichtig ist

Browser verarbeiten ständig fremde Webseiten und Skripte. Ein Fehler im JavaScript Motor kann deshalb Millionen Menschen betreffen. Mozilla bewertet eine schwere Lücke als Problem, das sensible Daten erfassen oder Code in andere Webseiten einschleusen kann, ohne ungewöhnliche Handlungen des Nutzers zu verlangen.

Für Verteidiger ist die Geschwindigkeit wertvoll: Ein Modell kann große Mengen Quellcode und Testfälle durchsuchen, während Fachleute die relevanten Treffer bestätigen und Korrekturen prüfen. Zugleich sinken dieselben Kosten langfristig auch für Angreifer. Anthropic betont, dass Claude derzeit deutlich besser im Finden und Beheben als im vollständigen Ausnutzen ist. Dieses Zeitfenster ist praktisch, aber nicht garantiert dauerhaft.

Einfach erklärt

Stellen Sie sich eine große Wohnanlage mit Tausenden Türen vor. Claude läuft nicht nur an jeder Tür vorbei, sondern rüttelt systematisch an Schlössern und notiert ungewöhnliche Reaktionen. Bei 22 Türen bestätigte der Hausmeister einen echten Defekt. Bei zwei Türen konnte Claude in einer Übungsanlage zeigen, wie man hineingelangt. In der echten Anlage fehlten ihm jedoch weitere Schritte, um zusätzliche Schutzwände zu überwinden.

Praktisches Beispiel

Ein Browserteam übernimmt 100 automatisch erzeugte Absturzberichte. Ein Mensch prüft zuerst zehn Fälle mit reproduzierbarem Test und klarer Ursache. Drei sind echte Sicherheitsprobleme. Das Team lässt für jede vorgeschlagene Korrektur zwei Prüfungen laufen: Der ursprüngliche Fehler darf nicht mehr auftreten, und 20.000 bestehende Tests müssen weiter bestehen. So beschleunigt das Modell die Suche, während Menschen Freigabe, Priorität und Veröffentlichung kontrollieren.

Einordnung und Grenzen

Erstens liefen die zwei Exploits in einer Testumgebung ohne wichtige Schutzschichten wie die Browser Sandbox. Sie waren keine vollständigen Angriffe auf eine übliche Firefox Installation.

Zweitens stammen Leistungsangaben und Kosten aus Anthropics eigener Untersuchung. Die Zusammenarbeit mit Mozilla bestätigt die Fehler und ihre Einstufung, ersetzt aber keinen unabhängigen Vergleich mit anderen Modellen.

Drittens erzeugte Claude 112 Berichte, von denen nur ein Teil als Sicherheitslücke bestätigt wurde. Automatisierte Funde verursachen Prüfaufwand und sollten ohne reproduzierbaren Test, Ursachenanalyse und menschliche Kontrolle nicht ungeprüft übernommen werden.

SEO- und GEO-Schlüsselbegriffe

Claude Opus 4.6, Firefox, Mozilla, Anthropic, Browser Sicherheit, CVE 2026 2796, WebAssembly, JavaScript, Sicherheitslücken, Exploit Entwicklung

Claude findet 22 Sicherheitslücken in Firefox