La empresa sostiene que capacidades antes reservadas a especialistas ya se ejecutan con poca intervención humana, y amplía su programa de acceso para profesionales de ciberseguridad. No identifica el modelo usado.
Un modelo de investigación interno de Anthropic, que la empresa no ha lanzado ni identificado, encontró vulnerabilidades críticas en Chrome, Safari, Android, Windows y Linux, y las encadenó en ataques funcionales. Así lo describe un informe del Frontier Red Team de Anthropic publicado el 27 de octubre de 2026, firmado por Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf y Luna Tong.
Según la empresa, el trabajo se realizó durante varios meses en entornos de prueba, todas las fallas se notificaron antes a los fabricantes y ya fueron corregidas. The Hacker News indica que no se han observado en ataques reales.
Cinco cadenas de ataque
Chrome. El modelo escribió una cadena que, con solo cargar una página en una instalación estándar de Chrome en macOS, ejecutaba código fuera del entorno aislado (sandbox) del navegador; en la demostración, abría la calculadora. Combinó dos errores de memoria en el motor JavaScript V8, una condición de carrera en CacheStorage y un error de uso después de liberación (use-after-free) en el componente FedCM. Anthropic afirma que en total reportó 62 vulnerabilidades en Chrome, todas de severidad crítica o alta, corregidas a partir de Chrome 156. Según The Hacker News, Google acredita parte de esas correcciones a «Xinyang Ge de Anthropic, con ayuda de Claude».
Safari. La cadena permitía que el JavaScript de cualquier sitio leyera el historial, las cookies y los datos de sesión de Safari, y enviara solicitudes autenticadas a otros dominios, sin necesidad de ejecutar código arbitrario. Anthropic indica que varias de las debilidades usadas eran comportamientos previstos que solo se volvían explotables en conjunto. En las notas de seguridad de iOS y iPadOS 26.5.2, Apple acredita a «Milad Nasr y Nicholas Carlini con Claude, Anthropic» por una vulnerabilidad de uso después de liberación en WebKit (CVE-2026-43715).
Android. El modelo construyó un ataque para extraer fotos y datos personales de un teléfono bloqueado y robado, mediante tres vulnerabilidades que permitían saltarse las restricciones de datos por USB y la verificación de emparejamiento. Las pruebas se hicieron en un Google Pixel 9. Anthropic dice que Google corrigió el problema; The Hacker News señala que no encontró un registro público de esa corrección.
Windows. El hallazgo es una lectura fuera de límites, activable a distancia, en la implementación de QUIC del kernel de Windows, que afecta a servidores que atienden HTTP/3 con la pila nativa. Unos pocos paquetes bastan para reiniciar el equipo. Se trata de una denegación de servicio, no de ejecución de código. Anthropic estima que varios millones de servidores expuestos en Internet serían susceptibles y asocia el caso a CVE-2026-33096. The Hacker News advierte que ese registro describe una falla en HTTP.sys y no acredita a ningún descubridor.
Linux. El caso más grave: un atacante remoto, sin credenciales, podía ejecutar comandos como root en servidores con un servicio de TCP multicamino (MPTCP) activo. En la prueba de concepto, filtrar una dirección del kernel tomó 48 minutos y obtener la ejecución de comandos, unos cinco más. Anthropic lo vincula a CVE-2026-98432, corregida en el código principal y en las ramas estables. La ficha pública de esa vulnerabilidad la califica con 9,8 sobre 10 (crítica), pero describe un error en el código TCP de IPv4 y no menciona MPTCP, por lo que la relación con la cadena descrita descansa en el informe de Anthropic.
Cómo trabaja el sistema
Anthropic describe una plataforma que ejecuta muchos agentes de análisis en paralelo, mide cuántas vulnerabilidades únicas aporta cada uno y controla la cobertura del código revisado. Cada hallazgo confirmado pasa por un análisis de variantes y por un proceso estandarizado de verificación y clasificación de riesgo. En el caso de Windows, el equipo entregó el binario al modelo y le pidió aplicarle ingeniería inversa con herramientas como Ghidra antes de buscar fallas, priorizando las de mayor riesgo.
La empresa recomienda revisar el código al momento de cada solicitud de integración (pull request), para reducir las vulnerabilidades nuevas, y publicó con ese fin un complemento de seguridad para Claude Code.
Lo que el informe no precisa
Anthropic indica que cada ataque partió de «instrucciones iniciales» y que hubo dirección humana en algunos pasos, pero no detalla cuánta intervención hubo en cada caso. Tampoco informa tasas de falsos positivos, el total de vulnerabilidades halladas en el programa ni el tiempo por hallazgo. Los parches y los créditos de los fabricantes se pueden comprobar; el grado de autonomía del modelo, no.
La empresa aplicó su política de divulgación coordinada: 90 días para que el fabricante corrija y otros 45 antes de publicar detalles más allá del aviso oficial.
El argumento de Anthropic
Anthropic sostiene que este tipo de ataques, históricamente limitado a equipos especializados, ya se puede producir con poca intervención humana, y que los defensores necesitan acceso a modelos capaces para corregir antes que los atacantes. En esa línea, amplió su Cyber Verification Program, que da a profesionales de seguridad calificados acceso a capacidades avanzadas con menos bloqueos de sus clasificadores. También enlaza un servicio voluntario de búsqueda de vulnerabilidades para proyectos de código abierto.
Fuentes
- Anthropic: Discovering and exploiting vulnerabilities in critical, real-world software with Claude (27 de octubre de 2026)
- The Hacker News: Anthropic’s Unreleased AI Model Chains Flaws Into Working Chrome, Safari, Windows and Linux Exploits
- Apple: About the security content of iOS 26.5.2 and iPadOS 26.5.2
- Tenable: CVE-2026-98432
- Anthropic: Coordinated vulnerability disclosure
- Anthropic: Cyber Verification Program
- GitHub: complemento security-guidance de Claude Code
Ilustración generada por IA.
📬 Newsletter gratuito
