A Anthropic publicou uma pesquisa detalhando como um de seus modelos internos não lançados descobriu e explorou sérias vulnerabilidades de segurança em alguns dos softwares mais usados do mundo – incluindo 62 vulnerabilidades corrigidas no Google Chrome e uma exploração funcional que obtém acesso root em servidores Linux sem nenhuma interação do usuário.
As descobertas, apresentadas em uma postagem de pesquisa da empresa intitulada “Descobrindo e explorando vulnerabilidades em software crítico do mundo real com Claude”, descrevem cinco cadeias de ataque separadas que abrangem Chrome, Safari, Android, Windows e o kernel Linux. De acordo com a Anthropic, o trabalho foi realizado por um modelo de pesquisa interna inédito nos últimos meses, com cada cadeia levando à execução remota de código ou outros impactos críticos com pouco ou nenhum envolvimento do usuário. À medida que a indústria de IA digere o que isso significa para a segurança de software, a AI Buzz Wire continua acompanhando os mais recentes desenvolvimentos de IA à medida que eles se desenrolam.
Divulgação coordenada nos termos da Anthropic
A Anthropic diz que relatou todas as vulnerabilidades ao fornecedor afetado sob uma política coordenada de divulgação de vulnerabilidades, que dá aos desenvolvedores 90 dias para corrigir e mais 45 dias antes que a empresa discuta detalhes além do que já está incluído em um comunicado público. Este enquadramento é importante: o objectivo do exercício não era lançar armas funcionais na natureza, mas demonstrar – com explorações de prova de conceito verificáveis – que os modelos de fronteira podem agora realizar investigação de segurança que anteriormente era domínio de equipas pequenas e altamente especializadas.
“As competências envolvidas têm sido historicamente domínio de algumas equipas especializadas”, escreveram os investigadores da Anthropic, observando que os modelos podem agora encadear múltiplas vulnerabilidades numa exploração funcional com pouco envolvimento humano, e depois provar isso produzindo uma exploração que qualquer pessoa pode executar e verificar. A postagem foi de autoria de Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf e Luna Tong.
Chrome: 62 CVEs, 13 escapes de sandbox
Os resultados mais extensos vieram do navegador do Google. Após um prompt inicial, o modelo da Anthropic escreveu uma cadeia de exploração completa que executa código arbitrário fora da sandbox do Chrome em uma máquina macOS com configuração padrão – a prova de conceito inicia o aplicativo Calculadora segundos após o carregamento da página, sem interação adicional do usuário.
A cadeia passou por quatro vulnerabilidades distintas: um bug de corrupção de heap no mecanismo JavaScript V8, um segundo bug para sair da sandbox de memória do V8 e derrotar o ASLR usando uma cadeia de programação orientada a retorno, uma condição de corrida no CacheStorage usada para mapear a memória do processo do navegador privilegiado e, finalmente, um uso após liberação no recurso de login federado FedCM do Chrome que permitiu que o código escapasse totalmente da sandbox.
No total, a Anthropic relata que 62 CVEs foram atribuídos e corrigidos a partir do Chrome 156, todos classificados como críticos ou de alta gravidade, incluindo 13 escapes de sandbox e 21 vulnerabilidades que poderiam ter sido usadas para comprometer o processo de renderização.
Safári, Android e Windows
A rede Safari conseguiu algo possivelmente mais alarmante para os usuários comuns: um desvio completo da política de mesma origem, a regra fundamental que impede um site de ler os dados de outro site. O modelo encadeou um uso após liberação no mecanismo JavaScriptCore, uma fuga do isolamento de memória Gigacage do WebKit e uma falha no mecanismo IPC do sandbox WebContent – permitindo que uma página maliciosa leia o histórico e os cookies do Safari e dispare solicitações autenticadas para outros domínios. A Apple, observa a Anthropic, reconheceu o relatório no mesmo dia em que foi enviado e implementou uma correção imediatamente.
No Android, o modelo combinou análise de código-fonte, engenharia reversa de binários do Google Play Services e testes ao vivo em um Google Pixel 9 físico para construir uma exploração que extrai fotos e dados pessoais de um telefone bloqueado por USB – ignorando o fluxo de autorização de emparelhamento e a etapa de verificação do código de seis dígitos ao longo do caminho.
A descoberta do Windows foi uma falha remota e não autenticada: uma leitura fora dos limites na implementação QUIC do kernel do Windows, agora rastreada como CVE-2026-33096 e corrigida pela Microsoft. A Anthropic estima que vários milhões de servidores respondem ao HTTP/3 e podem ter travado repetidamente pela exploração. Notavelmente, a empresa diz que o modelo encontrou o bug por meio de análise binária pura – engenharia reversa do executável do Windows com ferramentas como Ghidra antes de estudar o código reconstruído em busca de pontos fracos.
O kernel do Linux: clique zero na raiz
A quinta cadeia é aquela pela qual as equipes de segurança provavelmente perderão o sono. O modelo da Anthropic descobriu um uso após liberação induzido por condição de corrida na pilha de rede do kernel Linux, rastreado como CVE-2026-98432, e construiu uma exploração que envia pacotes de rede para qualquer servidor executando um ouvinte multipath TCP (MPTCP) para executar comandos arbitrários como root – sem credenciais, sem interação do usuário.
A exploração funciona em dois estágios: primeiro, derrota o KASLR remotamente, abusando da corrida para acionar uma leitura excessiva que vaza um ponteiro do kernel de volta para o invasor; em seguida, ele transborda um buffer para substituir um ponteiro de retorno de chamada, encadeando funções existentes do kernel até que um comando shell escolhido pelo invasor seja executado como root. Na prova de conceito do Anthropic, o vazamento de um ponteiro do kernel levou 48 minutos, com acesso ao shell cerca de cinco minutos depois. Uma propriedade chave de habilitação: perder a corrida simplesmente falha no aperto de mão sem travar o sistema, de modo que um invasor pode tentar novamente indefinidamente.
A Anthropic diz que a vulnerabilidade foi corrigida no upstream e backportada para todas as ramificações do kernel estáveis mantidas. No entanto, os lançamentos de distribuição atrasaram – o Hacker News informou esta semana que o Ubuntu e o Red Hat ainda não tinham kernel fixo disponível, e o projeto Go emitiu um aviso de que os programas Go habilitam TCP multipath por padrão, expondo-os à falha.
Uma nova base para atacantes — e defensores
Além dos bugs individuais, a postagem da Anthropic descreve a metodologia que tornou a escala possível: uma plataforma que executa um grande número de agentes de varredura em paralelo, medindo quantas vulnerabilidades adicionais cada scanner contribui e aplicando análise automatizada de variantes a cada descoberta confirmada. A empresa também recomenda a verificação no momento da solicitação de pull e lançou publicamente um plugin de segurança Claude Code para esse fim.
Para os defensores, a Anthropic está expandindo seu Programa de Verificação Cibernética, que dá aos profissionais de segurança qualificados acesso a capacidades cibernéticas avançadas e seus modelos mais capazes, incluindo Claude Opus 5.5, Claude Sonnet 5.5 e Claude Mythos 5.1. O conselho da empresa permanece contundente: escaneie seu próprio código antes que o modelo de outra pessoa o faça.
O episódio é um dado vívido em um debate contínuo sobre IA e crimes cibernéticos. Os laboratórios Frontier passaram dois anos argumentando que os modelos poderiam em breve encontrar e encadear vulnerabilidades do mundo real – esta semana, pelo menos, o ônus da prova foi cumprido com explorações funcionais.
Para cobertura contínua de pesquisas de segurança de IA, lançamentos de modelos e políticas, siga AI Buzz Wire.
