Anthropic afirma que un modelo interno de IA, aún no publicado, descubrió vulnerabilidades y las combinó en exploits funcionales contra Chrome, Safari, Android, Windows y Linux. Las demostraciones incluyeron la ejecución de código fuera del sandbox de Chrome, la extracción de datos de un teléfono Android bloqueado y la ejecución de comandos como root en un servidor Linux.
La compañía, en su publicación de investigación, describe pruebas de concepto de laboratorio, con requisitos de acceso distintos para cada objetivo. Anthropic dice que notificó las vulnerabilidades a los fabricantes y que hay correcciones disponibles para los cinco casos. Se trata de demostraciones de investigación, no de ataques reportados contra usuarios.
La afirmación central sobre la capacidad, es decir, que el modelo ensambló cadenas de exploits sofisticadas tras una instrucción inicial y con poca intervención humana, procede de Anthropic. La compañía no identifica el modelo más allá de llamarlo modelo interno de investigación, ni ofrece un desglose paso a paso de la asistencia humana.
Los exploits del navegador cruzaron distintos límites de seguridad
En la demostración de Chrome, Anthropic afirma que una página abierta en un navegador de configuración estándar y predeterminada en macOS lanzó la Calculadora en segundos, sin más interacción. Eso demostró la ejecución de código como el usuario fuera del sandbox del navegador, el límite diseñado para contener contenido web comprometido.
La cadena combinó cuatro vulnerabilidades. Un fallo del motor de JavaScript V8 corrompió la memoria; una segunda escapó del sandbox de memoria de V8 y permitió controlar el proceso renderer. Una condición de carrera en CacheStorage expuso después información de memoria sobre el proceso del navegador, que tiene más privilegios. Por último, una vulnerabilidad de use-after-free en FedCM, la función de inicio de sesión federado de Chrome, permitió ejecutar código fuera del sandbox de procesos.
Anthropic dice que su investigación más amplia sobre Chrome produjo 62 CVE asignados, todos calificados como críticos o altos y parcheados a partir de Chrome 156. Entre ellos había 13 escapes de sandbox y 21 vulnerabilidades que podían comprometer el renderer.
La demostración de Safari apuntaba al acceso a datos sin depender de la ejecución arbitraria de código. Anthropic afirma que la cadena combinó un use-after-free en JavaScriptCore, debilidades relacionadas con la protección de memoria Gigacage de WebKit y una vulnerabilidad de comunicación del sandbox. Accedió al historial almacenado, a las cookies y a las bases de datos de sesiones, y luego cambió una marca de seguridad para desactivar la política del mismo origen, la regla que impide que un sitio web lea los datos de otro.
Eso permitiría que una página maliciosa enviara solicitudes autenticadas a otros sitios y leyera sus respuestas. Anthropic da ejemplos de lectura de correo electrónico, de consulta de saldos bancarios e intentos de transferencia cuando el usuario ya tiene la sesión iniciada. No informa de robos reales de cuentas ni de transferencias efectivas.
Anthropic dice que la corrección de Apple está disponible. The Hacker News informa de que Apple corrigió el use-after-free central en iOS y iPadOS 26.5.2, publicado el 29 de junio, y que acreditó a «Milad Nasr and Nicholas Carlini with Claude, Anthropic.»
Android requería acceso físico y los ataques a servidores, un listener
El exploit de Android requería acceso físico a un teléfono bloqueado a través de USB. Anthropic dice que su trabajo incluyó pruebas en un Google Pixel 9, junto con análisis de código fuente e ingeniería inversa de Google Play services.
El exploit eludió las restricciones de transferencias USB desde dispositivos bloqueados, la autorización entre pares y la verificación de un código de emparejamiento de seis dígitos. Después usó un mecanismo de respaldo para recuperar el contenido de los archivos pese a una restricción aparte sobre su transferencia por USB. Anthropic afirma que esto permitió extraer fotos y otra información personal sin desbloquear el teléfono, y que Google ha resuelto el problema. No indica una versión de Android corregida ni establece que todos los dispositivos Android se vieran afectados.
La demostración de Windows tuvo una consecuencia más acotada: la denegación de servicio. Anthropic afirma que unos pocos paquetes podrían bloquear y reiniciar una máquina que responde a solicitudes HTTP/3 a través de la implementación nativa de Windows. Repetir las solicitudes podría mantener el servidor no disponible. La demostración no estableció ejecución de código ni robo de datos.
Anthropic identifica el fallo como CVE-2026-33096 y describe una lectura fuera de límites en la implementación QUIC del kernel de Windows. The Hacker News informa de que el registro público nombra en cambio HTTP.sys, el manejador de solicitudes web de Windows, y da una fecha de parche de abril de 2026. Su informe no establece cómo se corresponden esas descripciones de componentes, y el registro no nombra a quien lo descubrió. La atribución a Anthropic se basa, por tanto, en el relato de la compañía.
Para Linux, Anthropic dice que el objetivo necesitaba un listener de TCP multiruta. Su exploit reutilizó un use-after-free inducido por una condición de carrera, primero para revelar una dirección del kernel y eludir la aleatorización de direcciones del kernel, y después para redirigir la ejecución y ejecutar un comando elegido por el atacante como root, sin credenciales ni interacción del usuario.
En la prueba de concepto de la compañía, filtrar la dirección tardó 48 minutos y llegar a la ejecución de comandos otros cinco. Anthropic afirma que los intentos fallidos interrumpían el handshake sin bloquear el sistema, lo que permitía reintentar.
La compañía asocia esa cadena con CVE-2026-98432 y dice que la corrección se aplicó en upstream y se retroportó a todas las ramas estables del kernel que se mantienen. The Hacker News informa de un parche upstream con fecha del 15 de octubre, pero también señala que el registro público de CVE describe una corrección de TCP sobre IPv4 y no un fallo de TCP multiruta. La conexión entre ese identificador y la cadena demostrada se basa en la publicación de Anthropic. Ambas descripciones no deben tomarse como un alcance de productos afectados confirmado de forma independiente.
