Anthropic ha publicado una investigación que detalla cómo uno de sus modelos internos inéditos descubrió y aprovechó graves vulnerabilidades de seguridad en algunos de los software más utilizados del mundo, incluidas 62 vulnerabilidades parcheadas en Google Chrome y un exploit funcional que obtiene acceso raíz en servidores Linux sin ninguna interacción del usuario.
Los hallazgos, presentados en una publicación de investigación de la compañía titulada "Descubriendo y explotando vulnerabilidades en software crítico del mundo real con Claude", describen cinco cadenas de ataque separadas que abarcan Chrome, Safari, Android, Windows y el kernel de Linux. Según Anthropic, el trabajo se llevó a cabo mediante un modelo de investigación interno inédito en los últimos meses, y cada cadena condujo a la ejecución remota de código u otros impactos críticos con poca o ninguna participación del usuario. Mientras la industria de la IA asimila lo que esto significa para la seguridad del software, AI Buzz Wire continúa rastreando los últimos desarrollos de IA a medida que se desarrollan.
Divulgación coordinada en los términos de Anthropic
Anthropic dice que informó cada vulnerabilidad al proveedor afectado bajo una política coordinada de divulgación de vulnerabilidades, que otorga a los desarrolladores 90 días para parchear y 45 días más antes de que la compañía discuta detalles más allá de lo que ya está incluido en un aviso público. Ese marco importa: el objetivo del ejercicio no era lanzar armas funcionales a la naturaleza, sino demostrar (con exploits de prueba de concepto verificables) que los modelos de frontera ahora pueden realizar investigaciones de seguridad que antes eran dominio de equipos pequeños y altamente especializados.
"Las habilidades involucradas han sido históricamente dominio de unos pocos equipos de especialistas", escribieron los investigadores de Anthropic, señalando que ahora los modelos pueden encadenar múltiples vulnerabilidades en un exploit funcional con poca participación humana y luego probarlo produciendo un exploit que cualquiera puede ejecutar y verificar. Los autores de la publicación son Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf y Luna Tong.
Chrome: 62 CVE, 13 escapes de sandbox
Los resultados más amplios provinieron del navegador de Google. Después de un mensaje inicial, el modelo de Anthropic escribió una cadena de exploits completa que ejecuta código arbitrario fuera del entorno limitado de Chrome en una máquina macOS con configuración predeterminada: la prueba de concepto inicia la aplicación Calculadora a los pocos segundos de cargar una página, sin más interacción del usuario.
La cadena atravesó cuatro vulnerabilidades distintas: un error de corrupción del montón en el motor JavaScript V8, un segundo error para salir de la zona de pruebas de memoria de V8 y derrotar a ASLR usando una cadena de programación orientada al retorno, una condición de carrera en CacheStorage utilizada para mapear la memoria del proceso del navegador privilegiado y, finalmente, un uso después de la liberación en la función de inicio de sesión federado FedCM de Chrome que permitió que el código escapara de la zona de pruebas por completo.
En total, Anthropic informa que se asignaron y parchearon 62 CVE a partir de Chrome 156, todos clasificados como críticos o de alta gravedad, incluidos 13 escapes de sandbox y 21 vulnerabilidades que podrían haberse utilizado para comprometer el proceso de renderizado.
Safari, Android y Windows
La cadena Safari logró algo posiblemente más alarmante para los usuarios cotidianos: una elusión total de la política del mismo origen, la regla fundamental que impide que un sitio web lea los datos de otro sitio. El modelo encadenó un uso después de la liberación en el motor JavaScriptCore, un escape del aislamiento de memoria Gigacage de WebKit y una falla en el mecanismo IPC del entorno limitado de WebContent, lo que permite que una página maliciosa lea el historial y las cookies de Safari y active solicitudes autenticadas a otros dominios. Apple, señala Anthropic, reconoció el informe el mismo día en que se presentó e implementó una solución de inmediato.
En Android, el modelo combinó análisis de código fuente, ingeniería inversa de los binarios de los servicios de Google Play y pruebas en vivo en un Google Pixel 9 físico para crear un exploit que extrae fotos y datos personales de un teléfono bloqueado a través de USB, evitando el flujo de autorización de emparejamiento y el paso de verificación del código de seis dígitos en el camino.
El hallazgo de Windows fue un fallo remoto y no autenticado: una lectura fuera de límites en la implementación QUIC del kernel de Windows, ahora rastreada como CVE-2026-33096 y reparada por Microsoft. Anthropic estima que varios millones de servidores responden a HTTP/3 y podrían haber sido bloqueados repetidamente por el exploit. En particular, la compañía dice que el modelo encontró el error mediante análisis binario puro: aplicando ingeniería inversa al ejecutable de Windows con herramientas como Ghidra antes de estudiar el código reconstruido en busca de debilidades.
El kernel de Linux: root sin hacer clic
La quinta cadena es aquella sobre la que los equipos de seguridad probablemente perderán el sueño. El modelo de Anthropic descubrió un uso después de la liberación inducido por una condición de carrera en la pila de red del kernel de Linux, rastreado como CVE-2026-98432, y creó un exploit que envía paquetes de red a cualquier servidor que ejecute un escucha TCP multiruta (MPTCP) para ejecutar comandos arbitrarios como root: sin credenciales, sin interacción del usuario.
El exploit funciona en dos etapas: primero, derrota a KASLR de forma remota abusando de la carrera para desencadenar una sobrelectura que filtra un puntero del kernel al atacante; luego desborda un búfer para sobrescribir un puntero de devolución de llamada, encadenando funciones del kernel existentes hasta que un comando de shell elegido por el atacante se ejecuta como root. En la prueba de concepto de Anthropic, la filtración de un puntero al kernel tomó 48 minutos, y el acceso al shell aproximadamente cinco minutos después. Una propiedad habilitadora clave: perder la carrera simplemente falla en el protocolo de enlace sin bloquear el sistema, por lo que un atacante puede volver a intentarlo indefinidamente.
Anthropic dice que la vulnerabilidad fue parcheada en sentido ascendente y retroportada a todas las ramas estables del kernel mantenidas. Sin embargo, los lanzamientos de distribución se han retrasado: The Hacker News informó esta semana que Ubuntu y Red Hat aún no tenían un kernel fijo disponible, y el proyecto Go emitió una advertencia de que los programas Go habilitan TCP multiruta de forma predeterminada, exponiéndolos a la falla.
Una nueva base para los atacantes y los defensores
Más allá de los errores individuales, la publicación de Anthropic describe la metodología que hizo posible la escala: una plataforma que ejecuta una gran cantidad de agentes de escaneo en paralelo, midiendo cuántas vulnerabilidades adicionales aporta cada escáner y aplicando análisis de variantes automatizados a cada hallazgo confirmado. La compañía también recomienda escanear en el momento de la solicitud de extracción y ha lanzado públicamente un complemento de seguridad de Claude Code para ese propósito.
Para los defensores, Anthropic está ampliando su Programa de verificación cibernética, que brinda a los profesionales de seguridad calificados acceso a capacidades cibernéticas avanzadas y a sus modelos más capaces, incluidos Claude Opus 5.5, Claude Sonnet 5.5 y Claude Mythos 5.1. El consejo de la empresa sigue siendo contundente: escanee su propio código antes de que lo haga el modelo de otra persona.
El episodio es un dato vívido en un debate en curso sobre la IA y los delitos cibernéticos. Los laboratorios Frontier han pasado dos años argumentando que los modelos pronto podrían encontrar y encadenar vulnerabilidades del mundo real; al menos esta semana, la carga de la prueba se ha cumplido con exploits que funcionan.
Para una cobertura continua de la investigación de seguridad de la IA, los lanzamientos de modelos y las políticas, siga AI Buzz Wire.
