El equipo rojo de frontera (Frontier Red Team) de Anthropic publicó el 27 de octubre un informe según el cual un modelo de investigación interno de Claude, todavía no presentado, encontró vulnerabilidades en Chrome, Safari, Android, Windows y Linux y las encadenó en cinco cadenas de ataque que funcionan en la práctica. Todas las vulnerabilidades se notificaron a los fabricantes mediante el proceso de divulgación coordinada y ya estaban corregidas cuando se publicó el informe.
Según el informe, en cada caso los investigadores solo aportaron la instrucción inicial; la mayor parte del trabajo de localizar los fallos y escribir el código de explotación corrió después a cargo del modelo. El informe no aclara cómo se llama el modelo ni si se lanzará.
A qué apunta cada una de las cinco cadenas
Chrome (macOS, ejecución remota con un clic): el modelo halló primero una corrupción de heap en el motor V8, luego rompió el sandbox de memoria de V8 y eludió la aleatorización del espacio de direcciones. Después usó una condición de carrera en CacheStorage para leer la memoria del proceso del navegador y, por último, aprovechó un fallo de use-after-free en FedCM para ejecutar código fuera del sandbox. En un macOS con instalación por defecto, unos segundos después de cargar la página se abrió la Calculadora.
Safari (un clic): la cadena arranca con un fallo de use-after-free en JavaScriptCore, esquiva el aislamiento Gigacage y luego explota una vulnerabilidad de comunicación entre procesos del sandbox WebContent para leer el historial, las cookies y las bases de datos de sesión, además de desactivar la política de mismo origen. La cadena no necesita ejecución arbitraria de código: solo leyendo datos se puede obtener el contenido de buzones de correo o páginas bancarias en las que el usuario tiene la sesión iniciada en otros sitios. Apple lo confirmó y lo corrigió ese mismo día.
Android (salto de la pantalla de bloqueo): el modelo combinó análisis de código fuente, ingeniería inversa de los servicios de Google Play y pruebas en un Pixel 9 real; fue sorteando la restricción de USB, la autorización de transferencia entre dispositivos, la verificación de emparejamiento de seis dígitos y la limitación sobre el contenido de los archivos, y extrajo fotos y otros datos personales de un teléfono bloqueado. Google indicó que ya lo ha tratado.
Windows (denegación de servicio remota): la implementación de QUIC del kernel de Windows tiene una lectura fuera de límites; basta con enviar de forma remota unos pocos paquetes para que el equipo se bloquee y se reinicie, y el envío repetido puede interrumpir el servicio de manera continua. El informe estima que los servidores afectados en internet rondan los varios millones. El CVE correspondiente es CVE-2026-33096 y Microsoft ya lo corrigió.
Linux (ejecución remota sin clic): la vulnerabilidad está en el listener de TCP multirruta (MPTCP) y es un use-after-free provocado por una condición de carrera. Sin necesidad de credenciales, el atacante elude de forma remota la aleatorización de direcciones del kernel, secuestra el flujo de control y ejecuta comandos con privilegios de root. En la prueba de concepto, filtrar un puntero del kernel llevó unos 48 minutos y, después, unos 5 minutos conseguir ejecución de comandos. El parche ya está en upstream y se ha portado a todas las ramas estables del kernel que siguen recibiendo mantenimiento.
Solo Chrome suma 62 CVE
Chrome es el apartado con la cifra más alta del informe. Las vulnerabilidades que Anthropic comunicó a Google recibieron en total 62 CVE, todos de gravedad alta o crítica; 13 son escapes de sandbox y 21 pueden usarse para controlar el proceso de renderizado. Todos se corrigieron en Chrome 156. El informe menciona además fallos de escalada local de privilegios en OpenBSD y FreeBSD, así como algunos escapes de sandbox y vulnerabilidades de aplicaciones web, sin detallarlos uno por uno.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(Los modelos de frontera pueden descubrir y combinar varias vulnerabilidades en un exploit funcional.)
El informe no da el tiempo total ni el coste de cómputo; solo la cadena de Linux cuenta con tiempos concretos.
Comparación con resultados anteriores de equipos rojos
Si se compara con los casos públicos de principios de año, la diferencia está en el grado de intervención humana. Investigadores externos ya habían usado Claude Opus para construir cadenas de ataque contra una versión antigua de Chromium; el registro público habla de aproximadamente una semana, unas 20 horas de guía experta paso a paso y más de mil peticiones. Esta vez el informe subraya que el modelo lo completó todo tras la instrucción inicial, y que los objetivos eran los navegadores y kernels más recientes del momento, no un entorno de pruebas con las protecciones desactivadas.
Esa misma semana, Gemini 4 Carbon, presentado por Google, también puso en primer lugar sus puntuaciones de referencia en encontrar y verificar vulnerabilidades y escribir parches, y en un primer momento solo se abre a los equipos de defensa de redes. Anthropic tampoco ha abierto esta vez el modelo de investigación; los modelos de acceso público como Mythos 5.1 se ofrecen mediante un programa de verificación de ciberseguridad a profesionales de la seguridad que superan la revisión.
Recomendaciones para los defensores
Las recomendaciones del informe son prácticas: al escanear a gran escala, aumentar la capacidad de cómputo en tiempo de prueba y usar escáneres diversos eleva de forma clara el número de vulnerabilidades encontradas; además de limpiar las vulnerabilidades existentes, hay que escanear ya en la fase de pull request para reducir la entrada de fallos nuevos en la base de código. Anthropic ha publicado para ello un plugin de Claude Code.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(Nuestro consejo a los defensores sigue siendo el mismo: escanear el propio código es más importante que nunca.)
En cuanto al proceso de divulgación, los fabricantes disponen de 90 días para corregir y después se dejan otros 45 días antes de discutir detalles técnicos más allá de los avisos. Según ese proceso, lo que recoge el informe es solo la parte ya corregida; el número total de vulnerabilidades que el modelo halló y que aún no están corregidas, Anthropic no lo ha publicado.
Fuentes: informe de investigación del Frontier Red Team de Anthropic, ITHome, CocoLoop; se verificaron los sistemas implicados en las cinco cadenas de ataque, la cantidad y clasificación de los CVE de Chrome y el tiempo de la prueba de concepto en Linux.