A Anthropic afirmou em seu relatório mais recente que um modelo de IA ainda não lançado encontrou falhas de segurança no Chrome, Safari, Android, Windows e Linux e as encadeou em exploits funcionais de prova de conceito.
Os exploits foram construídos em laboratório depois que o modelo recebeu instruções, e não foram observados em nenhum ataque real. A Anthropic informou todas as falhas aos fabricantes antes de divulgá-las, por isso todas já foram corrigidas. Uma das provas de conceito abriu o aplicativo Calculadora em um Mac comum com o Chrome, em poucos segundos após o carregamento de uma página, sem nenhum clique adicional.
A equipe Frontier Red Team da Anthropic descreveu cinco cadeias em uma publicação de pesquisa. A afirmação mais forte não diz respeito a um bug isolado, mas ao fato de que um único modelo encontrou várias falhas separadas e as combinou em um exploit funcional, algo que, segundo a empresa, até agora exigia o trabalho de algumas equipes especializadas. Essa alegação de capacidade se baseia no relato da própria Anthropic.
As correções e o fato de que Apple e Google creditam a Anthropic e seu modelo Claude por correções específicas podem ser verificados com os fabricantes.
O que o leitor não consegue checar é quanto de cada cadeia foi construído pelo modelo por conta própria. A Anthropic diz que o trabalho exigiu apenas “solicitação inicial” e “pouca intervenção humana”, mas não detalha o que uma pessoa fez em cada etapa e não identifica o modelo, limitando-se a chamá-lo de modelo de pesquisa interno e ainda não lançado.
No caso da única falha com registro público próprio, o bug do Windows, o registro não identifica nenhum descobridor. A seguir, estão as cinco cadeias, o que cada uma faria, a condição necessária para cada uma e onde a correção foi aplicada.
Cadeia do Chrome
Na cadeia do Chrome, o modelo usou quatro falhas diferentes, uma após a outra. Uma página maliciosa começava corrompendo a memória do V8 (motor JavaScript do Chrome).
Uma segunda falha escapou do ambiente isolado de memória (sandbox) do V8 e assumiu o controle da parte do Chrome responsável por renderizar a página. Em seguida, uma condição de corrida (race condition) em um recurso chamado CacheStorage permitiu que esse código lesse memória que não deveria acessar e descobrisse a disposição de memória do processo do navegador, que tem mais privilégios.
Por fim, um bug de uso após liberação (use-after-free) no FedCM, o recurso de login do Chrome (gerenciamento federado de credenciais), permitiu que o exploit executasse código totalmente fora do ambiente isolado. A Anthropic diz ter informado ao Google 62 falhas que receberam CVEs (identificadores públicos de vulnerabilidades, da sigla em inglês Common Vulnerabilities and Exposures) e foram corrigidas até o Chrome 156. Todas foram classificadas como críticas ou altas, incluindo 13 escapes de sandbox.
As notas de lançamento do próprio Google creditam “Xinyang Ge, da Anthropic, com assistência do Claude” por correções específicas do Chrome, mas não por todas as 62 falhas.
Cadeia do Safari
A cadeia do Safari é diferente porque nunca executa código. Ela encadeia falhas para obter acesso total de leitura e escrita à memória do navegador e, então, altera um único valor para desativar a política de mesma origem (same-origin policy), a regra que impede um site de ler dados de outro.
Com essa regra desativada, uma página maliciosa pode ler o histórico e os cookies do usuário e enviar requisições autenticadas para outros sites. A Apple corrigiu o uso após liberação no centro da cadeia no iOS e no iPadOS 26.5.2 e credita “Milad Nasr e Nicholas Carlini com Claude, Anthropic” pela correção.
Cadeia do Windows
A cadeia do Windows é a única com um registro independente e também a mais restrita. Trata-se de um ataque de negação de serviço (DoS, na sigla em inglês): alguns pacotes de rede derrubam a máquina e, se forem repetidos, a mantêm fora do ar, mas o ataque não executa código nem rouba dados. A Anthropic descreve a falha como uma leitura fora dos limites no tratamento do protocolo de transporte QUIC pelo núcleo (kernel) do Windows.
O registro público do bug apontado, CVE-2026-33096, identifica o HTTP.sys, o manipulador de requisições web embutido no Windows, e lhe atribui nota 7,5 em 10. Nenhuma fonte de código aberto associa as duas descrições como se fossem o mesmo componente. O registro da CVE não credita nenhum descobridor, por isso a autoria da Anthropic nesse caso se baseia apenas na própria publicação.
Até o fim de outubro, o sistema de enriquecimento de vulnerabilidades do governo dos EUA marcava a falha como não explorada, e ela não constava no catálogo de falhas exploradas conhecidas da Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA).
Cadeia do Linux
A cadeia do Linux é a mais grave em termos de impacto: executa comandos com privilégios de root (administrador máximo) pela rede, sem necessidade de login. Ela exige que o servidor alvo esteja executando um listener de TCP (Protocolo de Controle de Transmissão) multicaminho (Multipath TCP, ou MPTCP). Primeiro, o modelo vaza um endereço de memória do kernel para contornar uma defesa chamada KASLR (aleatorização do layout de memória do kernel) e, em seguida, reutiliza a mesma condição de corrida para redirecionar o programa a um código que o atacante já colocou na memória, obtendo um shell com privilégios de root.
A Anthropic afirma que sua prova de conceito levou 48 minutos para vazar o endereço e mais cinco minutos para chegar ao shell, e que uma tentativa malsucedida não derruba o sistema, o que permite ao atacante tentar novamente.
A empresa liga essa cadeia à CVE-2026-98432, uma falha de uso após liberação no kernel com nota 9,8, corrigida na linha principal do projeto em 15 de outubro. O registro público dessa CVE descreve uma correção para TCP sobre IPv4 (protocolo de internet versão 4), e não para TCP multicaminho. As duas ligações existem apenas no relato da Anthropic.
Divulgação e motivação
A Anthropic apresenta o trabalho como uma contribuição para os defensores. Diz que comunicou cada falha seguindo uma política de divulgação coordenada, que dá aos desenvolvedores 90 dias para corrigir e mais 45 dias antes de discutir detalhes além de um comunicado público. A empresa também indica às equipes de segurança seu Cyber Verification Program ampliado, que oferece a profissionais verificados acesso ao Claude Opus 5.5, Sonnet 5.5 e Mythos 5.1.
A razão dada pela empresa para publicar está em suas próprias palavras: “Agora, é algo que modelos podem fazer com pouca intervenção humana e, então, comprovar produzindo um exploit funcional que qualquer pessoa pode executar e verificar.”
