Anthropic ha revelado que un modelo de inteligencia artificial propio, aún sin publicar, localizó fallos de seguridad en Chrome, Safari, Android, Windows y Linux y logró encadenarlos para construir pruebas de concepto de explotación operativas. Según la empresa, los exploits se desarrollaron en un entorno de laboratorio tras dar instrucciones al modelo, no se han detectado en ataques reales y cada defecto fue comunicado antes a su proveedor, por lo que todos cuentan ya con parche. Una de las pruebas conseguía abrir la aplicación Calculadora en un Mac estándar con Chrome pocos segundos después de cargar una página, sin necesidad de clics adicionales.
Cinco cadenas de explotación
El equipo Frontier Red Team de Anthropic describió cinco cadenas en una publicación de investigación. La afirmación más relevante no es un fallo aislado, sino que un mismo modelo hallara varias vulnerabilidades distintas y las combinara en un exploit funcional, una tarea que hasta ahora realizaban unos pocos equipos especializados. Esa capacidad se sostiene únicamente en el relato de la propia compañía. Los parches y el hecho de que Apple y Google atribuyan a Anthropic y a su modelo Claude correcciones concretas sí pueden verificarse con los proveedores.
Lo que un lector no puede comprobar es cuánto construyó el modelo por sí solo en cada cadena. Anthropic asegura que bastó un "estímulo inicial" y una "escasa intervención humana", pero no desglosa qué hizo una persona en cada paso ni identifica el modelo más allá de calificarlo como interno, de investigación y no publicado. En el único fallo con registro público propio, el de Windows, la ficha no nombra a ningún descubridor. A continuación se detallan las cinco cadenas, su efecto, la condición que exigen y dónde se aplicó la corrección.
Chrome: cuatro fallos en cadena
En la cadena de Chrome el modelo utilizó cuatro defectos de forma sucesiva. Una página maliciosa corrompía primero la memoria de V8, el motor JavaScript del navegador. Un segundo fallo escapaba del sandbox de memoria de V8 y tomaba el control de la parte de Chrome que renderiza la página. Una condición de carrera en la función CacheStorage permitía después a ese código leer memoria fuera de su alcance y conocer la disposición del proceso del navegador con más privilegios. Un último fallo de uso después de liberar en FedCM, la función de inicio de sesión de Chrome, permitía ejecutar código fuera del sandbox. Anthropic afirma que reportó 62 fallos a Google, todos con CVE asignado y corregidos en Chrome 156, calificados como críticos o altos, incluidos 13 escapes de sandbox. Las notas de versión de Google atribuyen a "Xinyang Ge, de Anthropic, con la asistencia de Claude" algunas correcciones concretas, aunque no las 62.
Safari: desactivar la política de mismo origen
La cadena de Safari es distinta porque nunca ejecuta código. Encadena fallos para obtener acceso completo de lectura y escritura a la memoria del navegador y luego modifica un único valor para desactivar la política de mismo origen, la regla que impide que un sitio web lea los datos de otro. Con esa regla desactivada, una página maliciosa puede leer el historial y las cookies del usuario y enviar solicitudes autenticadas a otros sitios. Apple corrigió el fallo de uso después de liberar en el centro de la cadena en iOS y iPadOS 26.5.2 y atribuye el hallazgo a "Milad Nasr y Nicholas Carlini, con Claude, de Anthropic".
Windows: la cadena más limitada
La cadena de Windows es la única con un rastro documental independiente y también la más limitada. Se trata de un ataque de denegación de servicio: unos pocos paquetes de red bloquean la máquina y repetirlos la mantiene caída, pero no ejecuta código ni roba datos. Anthropic describe el fallo como una lectura fuera de límites en el manejo de QUIC del núcleo de Windows. El registro público del CVE al que se vincula, CVE-2026-33096, menciona en cambio HTTP.sys, el gestor de solicitudes web integrado de Windows, y le asigna una puntuación de 7,5 sobre 10. Ninguna fuente abierta relaciona ambas descripciones como el mismo componente. La ficha del CVE no acredita a ningún descubridor, por lo que la autoría de Anthropic se basa en su propia publicación. A finales de octubre, el sistema estadounidense de enriquecimiento de vulnerabilidades marcaba el fallo como no explotado y no figuraba en el catálogo de CISA de errores explotados conocidos.
Linux: ejecución remota como root
La cadena de Linux es la de mayor impacto: ejecuta comandos como root a través de la red sin necesidad de iniciar sesión. Requiere que el servidor objetivo tenga activo un listener de multipath TCP. El modelo filtra primero una dirección de memoria del núcleo para eludir una defensa llamada KASLR y después reutiliza el mismo fallo de condición de carrera para redirigir el programa a código que el atacante ya ha colocado, lo que da lugar a una shell de root. Anthropic asegura que su prueba de concepto tardó 48 minutos en filtrar la dirección y cinco más en alcanzar la shell, y que un intento fallido no bloquea el sistema, por lo que un atacante puede reintentarlo. La empresa vincula esta cadena a CVE-2026-98432, un uso después de liberar del núcleo valorado en 9,8 y corregido en el código original el 15 de octubre; el registro público de ese CVE describe una corrección de IPv4 TCP y no de multipath TCP, y ambos solo quedan relacionados por la publicación de Anthropic.
Divulgación coordinada y acceso para defensores
Anthropic presenta el trabajo como una ayuda para los defensores. Indica que reportó cada fallo conforme a una política de divulgación coordinada que concede a los desarrolladores 90 días para parchear y 45 más antes de comentar detalles que excedan el aviso público, y remite a los equipos de seguridad a su programa ampliado Cyber Verification, que da acceso a Claude Opus 5.5, Sonnet 5.5 y Mythos 5.1 a profesionales verificados.
"Ahora es algo que los modelos pueden hacer con poca intervención humana y luego demostrar produciendo un exploit funcional que cualquiera puede ejecutar y verificar", justifica la compañía su decisión de publicar.
Deja una respuesta