A equipe vermelha de fronteira (Frontier Red Team) da Anthropic publicou em 27 de outubro um relatório segundo o qual um modelo de pesquisa interno do Claude, ainda não divulgado, encontrou vulnerabilidades no Chrome, Safari, Android, Windows e Linux e as encadeou em cinco cadeias de ataque que funcionam na prática. Todas as falhas foram comunicadas aos fabricantes por meio do processo de divulgação coordenada e já estavam corrigidas quando o relatório foi publicado.
De acordo com o relatório, em cada caso os pesquisadores forneceram apenas o prompt inicial; a maior parte do trabalho de localizar as falhas e escrever o código de exploração coube depois ao modelo. O relatório não diz como o modelo se chama nem se será lançado.
Onde cada uma das cinco cadeias ataca
Chrome (macOS, execução remota com um clique): o modelo primeiro achou uma corrupção de heap no motor V8, depois rompeu a sandbox de memória do V8 e contornou a aleatorização do espaço de endereços. Em seguida, usou uma condição de corrida no CacheStorage para ler a memória do processo do navegador e, por fim, aproveitou uma falha de use-after-free no FedCM para executar código fora da sandbox. Em um macOS com instalação padrão, poucos segundos após o carregamento da página a Calculadora abriu.
Safari (um clique): a cadeia parte de uma falha de use-after-free no JavaScriptCore, contorna o isolamento Gigacage e depois explora uma vulnerabilidade na comunicação entre processos da sandbox WebContent para ler histórico, cookies e bancos de dados de sessão, além de desativar a política de mesma origem. A cadeia não exige execução arbitrária de código: apenas lendo dados, é possível obter o conteúdo de caixas de e-mail ou páginas de banco em que a vítima está autenticada em outros sites. A Apple confirmou e corrigiu no mesmo dia.
Android (bypass da tela de bloqueio): o modelo combinou análise de código-fonte, engenharia reversa dos serviços do Google Play e testes em um Pixel 9 real, contornando em sequência a restrição de USB, a autorização de transferência entre dispositivos, a verificação de pareamento de seis dígitos e a limitação de conteúdo de arquivos, e extraiu fotos e outros dados pessoais de um celular bloqueado. O Google afirmou que já tratou o problema.
Windows (negação de serviço remota): a implementação de QUIC no kernel do Windows tem uma leitura fora dos limites; bastam alguns pacotes enviados remotamente para travar e reiniciar a máquina, e o envio repetido pode interromper o serviço de forma contínua. O relatório estima que o número de servidores afetados na internet chegue a alguns milhões. O CVE correspondente é o CVE-2026-33096, e a Microsoft já o corrigiu.
Linux (execução remota sem clique): a falha está no listener do TCP multicaminho (MPTCP) e é um use-after-free causado por condição de corrida. Sem precisar de credenciais, o atacante contorna remotamente a aleatorização de endereços do kernel, sequestra o fluxo de controle e executa comandos com privilégios de root. Na prova de conceito, vazar um ponteiro do kernel levou cerca de 48 minutos e, depois disso, cerca de 5 minutos para obter execução de comandos. O patch já está no upstream e foi portado de volta a todos os ramos estáveis do kernel que ainda recebem manutenção.
Só o Chrome soma 62 CVEs
O Chrome é o item com o maior número do relatório. As falhas que a Anthropic reportou ao Google receberam ao todo 62 CVEs, todos de gravidade alta ou crítica; 13 são fugas de sandbox e 21 podem ser usados para controlar o processo de renderização. Todos foram corrigidos no Chrome 156. O relatório menciona ainda falhas de escalonamento local de privilégios no OpenBSD e no FreeBSD, além de algumas fugas de sandbox e vulnerabilidades de aplicações web, sem detalhar cada uma.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(Modelos de fronteira têm a capacidade de descobrir e combinar várias vulnerabilidades em um exploit funcional.)
O relatório não informa o tempo total nem o custo computacional; só a cadeia do Linux traz tempos concretos.
Comparação com resultados anteriores de equipes vermelhas
Colocando o resultado ao lado de casos públicos do início do ano, a diferença está no grau de intervenção humana. Pesquisadores externos já haviam usado o Claude Opus para montar cadeias de ataque contra uma versão antiga do Chromium; o registro público fala em cerca de uma semana, cerca de 20 horas de orientação passo a passo de especialistas e mais de mil requisições. Desta vez, o relatório destaca que o modelo concluiu tudo após o prompt inicial, e que os alvos eram os navegadores e kernels mais recentes da época, não um ambiente de teste com as proteções desativadas.
Na mesma semana, o Gemini 4 Carbon, lançado pelo Google, também colocou em primeiro plano as pontuações de benchmark em encontrar e verificar vulnerabilidades e escrever correções, e foi aberto inicialmente apenas a equipes de defesa de redes. A Anthropic também não liberou o modelo de pesquisa desta vez; modelos de acesso público como o Mythos 5.1 são oferecidos por meio de um programa de verificação de cibersegurança a profissionais de segurança aprovados.
Recomendações para quem defende
As recomendações do relatório são práticas: ao fazer varreduras em grande escala, aumentar o poder computacional no momento do teste e usar scanners diversificados eleva de forma clara o número de falhas encontradas; além de limpar o passivo de vulnerabilidades existentes, é preciso varrer já na etapa de pull request, para reduzir a entrada de novas falhas na base de código. A Anthropic publicou para isso um plugin do Claude Code.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(Nosso conselho aos defensores continua o mesmo: varrer o próprio código é mais importante do que nunca.)
Quanto ao processo de divulgação, os fabricantes têm 90 dias para corrigir e, depois, mais 45 dias antes de se discutirem detalhes técnicos além dos avisos de segurança. Por esse processo, o que o relatório descreve é apenas a parte já corrigida; o total de falhas que o modelo encontrou e ainda não foram corrigidas, a Anthropic não divulgou.
Fontes: relatório de pesquisa da Frontier Red Team da Anthropic, ITHome, CocoLoop; foram conferidos os sistemas envolvidos nas cinco cadeias de ataque, a quantidade e a classificação dos CVEs do Chrome e o tempo da prova de conceito no Linux.