Claude encuentra vulnerabilidades en Chrome, Safari y Linux

El 27 de octubre, el Frontier Red Team de Anthropic describió cinco cadenas de exploits construidas por un «modelo de investigación interno y no publicado» (en el original, «an unreleased, internal research model»). Durante los últimos meses, el modelo buscó vulnerabilidades en Chrome, Safari, Android, Windows y Linux, y en cada uno de esos sistemas llegó hasta un ataque crítico con una intervención mínima del usuario o sin ninguna.

¿Qué vulnerabilidades encontró Claude?

En los cinco casos, tras el prompting inicial, Claude escribió él solo la cadena completa:

1. Chrome: ejecución remota de código con un clic. La cadena combina un fallo en el motor V8, una fuga del sandbox de V8, una condición de carrera en CacheStorage y un use-after-free en FedCM (el mecanismo de inicio de sesión de Chrome). En la demo, la Calculadora se abre en macOS unos segundos después de cargar la página. Hasta Chrome 156 se asignaron y parchearon 62 CVE, todas de gravedad «critical» o «high».
2. Safari: robo de datos con un clic. Aquí sin ejecución de código: un use-after-free en JavaScriptCore, un bypass del aislamiento Gigacage y una debilidad en el IPC del sandbox permitieron leer del disco el historial, las cookies y las sesiones, y después desactivar la same-origin policy. Según Anthropic, Apple confirmó el aviso el mismo día y publicó rápidamente un parche.
3. Android: bypass de la pantalla de bloqueo. El modelo sacó fotos y datos personales de un Google Pixel 9 bloqueado combinando análisis de código, ingeniería inversa de binarios de Google Play services y pruebas en un teléfono físico. Google ya lo ha corregido.
4. Windows: DoS remoto. Una lectura fuera de límites en la implementación de QUIC del kernel de Windows, accesible a través de HTTP/3. Bastan unos pocos paquetes para que la máquina se cuelgue y se reinicie. Según estimaciones de Anthropic, hay probablemente varios millones de servidores así en internet. Microsoft lo parcheó como CVE-2026-33096.
5. Linux: root zero-click. El caso más grave: un atacante remoto envía paquetes a un servidor con un listener de multipath TCP y ejecuta cualquier comando como root, sin credenciales y sin intervención del usuario. En la prueba de concepto, filtrar un puntero del kernel lleva 48 minutos, y llegar a ejecutar un comando, otros cinco. El parche llegó a la rama principal del kernel y a todas las ramas estables mantenidas (CVE-2026-98432).

A eso se suman escaladas locales de privilegios en OpenBSD, FreeBSD y Linux, fugas de sandbox y numerosos fallos en aplicaciones web.

¿Qué hay de nuevo aquí en el contexto de la IA?

Primero, el nivel de los objetivos. Chrome, Safari, Android, Windows y Linux están entre los programas mejor protegidos del mundo, y el equipo de Anthropic los trata abiertamente como una prueba de lo que pueden hacer los modelos en la investigación de vulnerabilidades.

Segundo, la longitud de las cadenas. No son bugs sueltos, sino ataques de varias etapas en los que cada paso esquiva otra capa de protección (sandbox, ASLR, aislamiento de memoria). En el caso de Windows, Claude primero hizo ingeniería inversa del ejecutable, entre otras herramientas con Ghidra, escribió en C una reconstrucción comentada del código y solo entonces buscó fallos en ella.

Tercero, la escala. Anthropic construyó una plataforma en la que muchos agentes de escaneo trabajan en paralelo, y cada uno se evalúa según cuántas vulnerabilidades nuevas aporta. Por cada fallo confirmado, Claude busca automáticamente variantes parecidas en otras partes del código. Como se lee en el resumen, es algo que los modelos ya pueden hacer «con poca intervención humana» (en el original, «with little human involvement»).

Como sabemos, un día después Google presentó Gemini 4 Carbon, también pensado para buscar vulnerabilidades, y antes Bank of America había contratado a 1000 contratistas para parchear lo que encontró Claude Mythos. Parece que la carrera de los modelos en ciberseguridad se acelera.

¿Cuándo estará disponible este modelo?

No lo sabemos. El artículo no da ni el nombre del modelo ni una fecha de lanzamiento.

Lo que sí sabemos es qué está disponible hoy. Anthropic amplió el Cyber Verification Program, en el que especialistas en seguridad verificados obtienen acceso a funciones cyber avanzadas y a clasificadores menos restrictivos. El programa cubre Claude Opus 5.5, Claude Sonnet 5.5 y Claude Mythos 5.1 y, según el anuncio, también los próximos modelos nuevos.

¿En qué fijarse?

Primero, en la divulgación. Todas las vulnerabilidades se notificaron a los fabricantes dentro de la divulgación coordinada de vulnerabilidades: el fabricante tiene 90 días para publicar el parche, y Anthropic espera otros 45 días antes de contar más que el aviso público. Los casos descritos ya están parcheados, así que basta con actualizar navegadores, teléfonos y kernels.

Segundo, en tu propio código. Anthropic escribe sin rodeos que ponerse al día con los parches pendientes es solo la mitad del problema y que escanear tu propio código es «más importante que nunca» (en el original, «more important than ever»). Para escanear en la fase de pull request, la empresa publicó el plugin security-guidance para Claude Code. Escribí más sobre cómo proteger tus propios agentes en la guía de seguridad de agentes de IA.

Tercero, en la otra cara de la moneda. Si un modelo es capaz de montar por sí solo un root zero-click en Linux, herramientas parecidas probablemente acabarán también en manos de atacantes; de ahí la cautela de Anthropic a la hora de dar acceso.

FAQ

¿Ya están parcheadas las vulnerabilidades que encontró Claude?

Según Anthropic, sí: Chrome (hasta la versión 156), Safari, Android, Windows (CVE-2026-33096) y Linux (CVE-2026-98432) ya tienen parches.

¿Con qué modelo de Claude se encontraron estas vulnerabilidades?

Con un modelo de investigación interno y no publicado. Anthropic no dio su nombre ni la fecha de lanzamiento.

¿Puedo usar Claude para buscar vulnerabilidades en mi propio código?

Sí. Para revisar pull requests está el plugin security-guidance para Claude Code, y los especialistas en seguridad pueden solicitar acceso al Cyber Verification Program para usar Opus 5.5, Sonnet 5.5 y Mythos 5.1 con menos restricciones.