Modelo interno de Anthropic encadena fallas críticas en Chrome, Safari y Linux
Un sistema no lanzado halló vulnerabilidades en navegadores y sistemas operativos; todas ya fueron parcheadas.
Un modelo de investigación interno de Anthropic, que la empresa no ha lanzado ni identificado públicamente, logró encadenar vulnerabilidades críticas en Chrome, Safari, Android, Windows y Linux, convirtiéndolas en ataques funcionales. Así lo detalla un informe del Frontier Red Team de Anthropic, publicado el 27 de octubre de 2026 y firmado por Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf y Luna Tong.
Según la empresa, el trabajo se realizó durante varios meses en entornos de prueba. Todas las fallas fueron notificadas antes a los fabricantes y ya fueron corregidas. The Hacker News, medio especializado que replicó el informe, indica que no se han observado estos ataques en incidentes reales.
Cinco cadenas de ataque
En Chrome, el modelo escribió una cadena que, con solo cargar una página en una instalación estándar del navegador en macOS, ejecutaba código fuera del entorno aislado (sandbox), es decir, la barrera que separa los procesos del navegador del resto del sistema. En la demostración, abrió la calculadora. Para lograrlo, combinó dos errores de memoria en el motor JavaScript V8, una condición de carrera en CacheStorage y un error de uso después de liberación (use-after-free) en el componente FedCM.
Anthropic afirma que reportó 62 vulnerabilidades en Chrome, todas de severidad crítica o alta, corregidas a partir de Chrome 156. Google acredita parte de esas correcciones a «Xinyang Ge de Anthropic, con ayuda de Claude», según The Hacker News.
En Safari, la cadena permitía que el JavaScript de cualquier sitio leyera el historial, las cookies y los datos de sesión, y enviara solicitudes autenticadas a otros dominios, sin necesidad de ejecutar código arbitrario. Varias de las debilidades usadas eran comportamientos previstos que solo se volvían explotables en conjunto, explica Anthropic. En las notas de seguridad de iOS y iPadOS 26.5.2, Apple acredita a «Milad Nasr y Nicholas Carlini con Claude, Anthropic» por una vulnerabilidad de uso después de liberación en WebKit (CVE-2026-43715).
En Android, el modelo construyó un ataque para extraer fotos y datos personales de un teléfono bloqueado y robado, mediante tres vulnerabilidades que permitían saltarse las restricciones de datos por USB y la verificación de emparejamiento. Las pruebas se hicieron en un Google Pixel 9. Anthropic dice que Google corrigió el problema; The Hacker News señala que no encontró un registro público de esa corrección.
En Windows, el hallazgo es una lectura fuera de límites, activable a distancia, en la implementación de QUIC del kernel, que afecta a servidores que atienden HTTP/3 con la pila nativa. Unos pocos paquetes bastan para reiniciar el equipo. Es una denegación de servicio, no ejecución de código. Anthropic estima que varios millones de servidores expuestos en Internet serían susceptibles y asocia el caso a CVE-2026-33096. The Hacker News advierte que ese registro describe una falla en HTTP.sys y no acredita a ningún descubridor.
El caso más grave ocurrió en Linux: un atacante remoto, sin credenciales, podía ejecutar comandos como root en servidores con un servicio de TCP multicamino (MPTCP) activo. En la prueba de concepto, filtrar una dirección del kernel tomó 48 minutos y obtener la ejecución de comandos, unos cinco más. Anthropic lo vincula a CVE-2026-98432, corregida en el código principal y en las ramas estables. La ficha pública de esa vulnerabilidad la califica con 9,8 sobre 10 (crítica), pero describe un error en el código TCP de IPv4 y no menciona MPTCP, por lo que la relación con la cadena descrita descansa en el informe de Anthropic.
Cómo trabaja el sistema
Anthropic describe una plataforma que ejecuta muchos agentes de análisis en paralelo, mide cuántas vulnerabilidades únicas aporta cada uno y controla la cobertura del código revisado. Cada hallazgo confirmado pasa por un análisis de variantes y por un proceso estandarizado de verificación y clasificación de riesgo. En el caso de Windows, el equipo entregó el binario al modelo y le pidió aplicarle ingeniería inversa con herramientas como Ghidra antes de buscar fallas, priorizando las de mayor riesgo.
La empresa recomienda revisar el código al momento de cada solicitud de integración (pull request), para reducir las vulnerabilidades nuevas, y publicó con ese fin un complemento de seguridad para Claude Code.
Lo que el informe no precisa: Anthropic indica que cada ataque partió de «instrucciones iniciales» y que hubo dirección humana en algunos pasos, pero no detalla cuánta intervención hubo en cada caso. Tampoco informa tasas de falsos positivos, el total de vulnerabilidades halladas en el programa ni el tiempo por hallazgo. Los parches y los créditos de los fabricantes se pueden comprobar; el grado de autonomía del modelo, no.
El argumento de Anthropic
Anthropic sostiene que este tipo de ataques, históricamente limitado a equipos especializados, ya se puede producir con poca intervención humana, y que los defensores necesitan acceso a modelos capaces para corregir antes que los atacantes. En esa línea, amplió su Cyber Verification Program, que da a profesionales de seguridad calificados acceso a capacidades avanzadas con menos bloqueos de sus clasificadores. También enlaza un servicio voluntario de búsqueda de vulnerabilidades para proyectos de código abierto.
Para el público chileno, la relevancia es práctica: si usas Chrome, Safari, Android, Windows o Linux, los parches ya están disponibles o en proceso de distribución. Mantener los sistemas actualizados sigue siendo la primera línea de defensa frente a este tipo de hallazgos.
Con información de DiarioTI
