Un modelo de Anthropic, todavía sin publicar, armó cadenas de ataque funcionales contra Chrome, Safari, Android, Windows y Linux en pruebas de laboratorio. El modelo de Anthropic encontró los fallos, los combinó paso a paso y entregó pruebas de concepto que otra persona puede ejecutar y comprobar, un trabajo que era de equipos muy especializados.
El informe lo firmó el equipo Frontier Red Team el 27 de octubre. Anthropic informó de cada fallo a su fabricante antes de publicar nada, con 90 días para el parche y 45 días antes de contar detalles. Las cinco cadenas de ataque quedaron parchadas antes de salir a la luz y ninguna se vio en ataques reales: todo ocurrió en el laboratorio, tras una instrucción inicial.
Cinco plataformas, cinco rutas de entrada distintas
La cadena de Chrome impresiona por su velocidad. Una página maliciosa corrompía la memoria del motor JavaScript V8, escapaba de su caja de memoria y vencía ASLR, que mueve el código de sitio en cada arranque. Una condición de carrera en CacheStorage filtraba la distribución de memoria del proceso principal, y un fallo de uso tras liberación en FedCM, el inicio de sesión federado, terminaba el trabajo: código fuera del entorno aislado y la Calculadora abierta en una Mac con Chrome de fábrica, a los pocos segundos de cargar la página. Anthropic contó 62 fallos con identificador CVE asignado en Chrome, todos de gravedad alta o crítica, con 13 escapes del entorno aislado, corregidos en Chrome 156.
Safari cayó por otra vía, sin ejecutar código. La cadena aprovechó un fallo de uso tras liberación en JavaScriptCore con operaciones TypedArray, rodeó Gigacage, el aislamiento de memoria de WebKit, y entró por un hueco en la comunicación interna del proceso WebContent hasta leer del disco el historial, las galletas y las sesiones. Con acceso de lectura y escritura a la memoria, el ataque apagó la política del mismo origen, la regla que impide que un sitio lea datos de otro, y una página cualquiera podía consultar el correo o la banca de una sesión abierta. Apple lo corrigió en iOS y iPadOS 26.5.2.
Android aportó la cadena física. Con un Pixel 9 bloqueado en la mano, el modelo combinó tres fallos y extrajo fotos y datos personales por USB, el puerto que un teléfono bloqueado no debería usar para transferir datos: un ajuste del equipo anfitrión saltaba ese bloqueo, otro paso omitía la autorización del emparejamiento y un tercero daba por buena la verificación del código de seis dígitos, como si la persona dueña hubiera tocado «Permitir». Un mecanismo de reserva enviaba los archivos en bruto por el mismo cable. Google ya corrigió el problema.
Windows y Linux cerraron la lista con servidores. En Windows, una lectura fuera de límites en la implementación QUIC del núcleo permitía tumbar a distancia, con unos pocos paquetes, cualquier servidor que responda por HTTP/3, y repetir el envío lo mantenía caído; Anthropic estima millones de servidores así y registró el fallo como CVE-2026-33096. En Linux, una condición de carrera en la pila de red con TCP multipath filtraba un puntero del núcleo en 48 minutos, vencía KASLR y cinco minutos después ejecutaba comandos como root, sin credenciales ni un solo clic. Ese fallo, CVE-2026-98432 con nota 9.8 sobre 10, tiene una propiedad fea: un intento fallido no tumba la máquina, así que el atacante puede reintentar cuanto quiera.
Lo verificable y lo que descansa en la palabra de Anthropic
Parte del relato se puede comprobar fuera de la casa. Google acredita en las notas de Chrome 156 a Xinyang Ge, de Anthropic, asistido por Claude en correcciones concretas, y Apple acredita a Milad Nasr y Nicholas Carlini con Claude en el arreglo central de Safari. The Hacker News, que revisó el informe pieza a pieza, advierte del límite: esos créditos cubren fallos específicos, no los 62 de Chrome en bloque, y el registro público del fallo de Windows nombra HTTP.sys, lo puntúa 7.5 y no acredita descubridor alguno. La autonomía del modelo tampoco tiene desglose público: Anthropic afirma que bastó una instrucción inicial, sin detallar qué hizo una persona en cada cadena ni dar nombre al modelo.
Esa cautela no vacía el hallazgo. Las cadenas funcionan, los fabricantes parchearon y Anthropic amplió su Cyber Verification Program, que da a profesionales verificados acceso a Claude Opus 5.5, Sonnet 5.5 y Mythos 5.1 para buscar fallos antes que los delincuentes. La empresa sumó escapes de entornos aislados, fallos de elevación de privilegios en OpenBSD, FreeBSD y Linux, y vulnerabilidades en aplicaciones web.
Qué actualizar hoy para quedar fuera de estas cadenas
La parte práctica es corta. Chrome debe estar en la versión 156 o una posterior; iPhone y iPad necesitan iOS y iPadOS 26.5.2 o posterior; los servidores Linux requieren un núcleo con el arreglo del CVE-2026-98432, publicado el 15 de octubre y llevado a las ramas estables; y los servidores Windows dependen del parche de abril del CVE-2026-33096. En Android, la corrección llega con las actualizaciones del sistema y de los servicios de Google Play, así que un Pixel con meses de atraso sigue expuesto a la extracción por cable.
El sector ya lee el dato laboral. Si un modelo encadena cuatro fallos de Chrome en una sola pasada, la defensa gana o pierde en la velocidad de parcheo de cada empresa, escuela y oficina donde Chrome, Windows o Linux sostienen el trabajo diario.
Fuente: Anthropic
Foto: Anthropic
