Um modelo de IA ainda não lançado da Anthropic identificou falhas de segurança no Chrome, Safari, Android, Windows e Linux e as combinou para criar exploits funcionais de proof of concept, informou a empresa em seu relatório mais recente.
Os exploits foram desenvolvidos em ambiente de testes após o modelo receber instruções. Não foram identificados em ataques reais, e a Anthropic afirma ter comunicado todas as falhas aos respectivos fornecedores. Segundo a empresa, todas já foram corrigidas. Em uma das provas de conceito, o aplicativo Calculadora foi aberto em um Mac sem modificações, usando o Chrome, segundos depois de uma página ser carregada, sem nenhum clique adicional.
A Frontier Red Team, da Anthropic, descreveu cinco cadeias de ataque em uma publicação de pesquisa. A principal alegação não diz respeito a uma falha isolada, mas à capacidade de um único modelo encontrar vulnerabilidades distintas e combiná-las em um exploit funcional. A empresa afirma que, até agora, esse tipo de trabalho era realizado por algumas equipes especializadas. Essa afirmação sobre a capacidade do modelo se baseia no relato da própria Anthropic.
É possível confirmar que as falhas foram corrigidas e que Apple e Google atribuem à Anthropic e ao modelo Claude a participação em ajustes específicos.
O que não é possível verificar é quanto de cada cadeia foi desenvolvido pelo modelo de forma autônoma. A Anthropic diz que o trabalho exigiu apenas “instruções iniciais” e “pouca intervenção humana”, mas não detalha o que uma pessoa fez em cada etapa. Também não identifica o modelo, além de descrevê-lo como um modelo interno de pesquisa ainda não lançado.
No caso da falha do Windows, a única com um registro público próprio, não há indicação de quem a descobriu. A seguir, estão as cinco cadeias, seus efeitos, as condições necessárias e as correções aplicadas.
| Plataforma | O que o exploit faz | Condição necessária | Correção |
|---|---|---|---|
| Chrome | Executa código no computador, fora da sandbox do navegador, após uma visita a uma página da internet | Um clique ou o carregamento de uma página, com o Chrome padrão no macOS | Chrome 156, em 20/10/2026 |
| Safari | Permite que qualquer site leia dados de outros sites nos quais a pessoa está conectada, como contas de e-mail ou bancárias | Uma visita a uma página maliciosa | iOS e iPadOS 26.5.2, em 29/06/2026 |
| Android | Copia fotos e outros dados de um celular bloqueado e roubado | Acesso físico ao aparelho por USB | A Anthropic diz que o Google corrigiu a falha; não foi localizado registro público |
| Windows | Derruba um servidor pela rede e o mantém indisponível com ataques repetidos | O servidor precisa aceitar solicitações HTTP/3 |
CVE-2026-33096
, corrigida em abril de 2026 |
| Linux | Executa comandos com privilégios de root pela rede, sem login nem ação do usuário | O servidor precisa executar um processo que escute conexões Multipath TCP |
CVE-2026-98432
, corrigida em 15/10/2026 |
Na cadeia do Chrome, o modelo usou quatro falhas diferentes em sequência. Primeiro, uma página maliciosa corrompeu a memória do V8, o mecanismo JavaScript do navegador.
Uma segunda falha escapou da sandbox de memória do V8 e assumiu o controle do componente do Chrome responsável por renderizar a página. Em seguida, uma race condition em um recurso chamado CacheStorage permitiu que esse código lesse uma área de memória à qual não deveria ter acesso e descobrisse a organização da memória do processo do navegador, que tem mais privilégios.
Por fim, uma falha use-after-free no FedCM, recurso de autenticação do Chrome, permitiu que o exploit executasse código completamente fora da sandbox. A Anthropic afirma ter comunicado ao Google 62 falhas que receberam CVEs e já haviam sido corrigidas no Chrome 156. Todas foram classificadas como críticas ou altas, incluindo 13 que permitiam escapar da sandbox.
As notas de lançamento do Google atribuem correções específicas a “Xinyang Ge, da Anthropic, com assistência do Claude”, embora não façam essa atribuição para as 62 falhas.
A cadeia do Safari é diferente porque não chega a executar código. Ela combina falhas para obter acesso completo de leitura e escrita à memória do navegador e, então, altera um único valor para desativar a same-origin policy, regra que impede um site de acessar os dados de outro.
Com essa proteção desativada, uma página maliciosa pode ler o histórico e os cookies da pessoa e enviar solicitações autenticadas a outros sites. A Apple corrigiu a falha use-after-free que estava no centro da cadeia no iOS e no iPadOS 26.5.2. A empresa atribuiu a descoberta a “Milad Nasr e Nicholas Carlini, com Claude, da Anthropic”.
A cadeia do Windows é a que tem um registro independente e também a mais limitada. Trata-se de um ataque de negação de serviço: alguns pacotes enviados pela rede derrubam a máquina, e o envio repetido a mantém fora do ar. A falha não permite executar código nem roubar dados. A Anthropic descreve o problema como uma out-of-bounds read no tratamento de QUIC pelo kernel do Windows.
Já o registro público da falha mencionada,
CVE-2026-33096
, aponta para o HTTP.sys, componente integrado do Windows que processa solicitações da internet, e atribui a ela uma pontuação CVSS de 7,5. Nenhuma fonte de código aberto relaciona as duas descrições ao mesmo componente. O registro da CVE não identifica quem descobriu a falha, por isso a atribuição à Anthropic se baseia apenas na publicação da empresa.
No fim de outubro, os dados de enriquecimento de vulnerabilidades do governo dos Estados Unidos indicavam que a falha não havia sido explorada. Ela também não constava no catálogo da CISA de falhas conhecidas como exploradas.
A cadeia do Linux é a mais grave pelo impacto: permite executar comandos com privilégios de root pela rede, sem necessidade de login. Para funcionar, o servidor-alvo precisa executar um processo que escute conexões Multipath TCP. Primeiro, o modelo expõe um endereço de memória do kernel para contornar uma defesa chamada KASLR. Depois, reutiliza a mesma race condition para redirecionar o programa a um código previamente inserido pelo invasor, o que resulta em acesso a um terminal com privilégios de root.
A Anthropic afirma que sua prova de conceito levou 48 minutos para expor o endereço e mais cinco para obter acesso ao terminal. Uma tentativa malsucedida não derruba o sistema, o que permite que um invasor tente novamente.
A empresa relaciona essa cadeia à
CVE-2026-98432
, uma falha use-after-free no kernel, classificada com pontuação CVSS de 9,8 e corrigida no código principal em 15/10/2026. O registro público da CVE, porém, descreve uma correção relacionada a TCP sobre IPv4, e não a Multipath TCP. A ligação entre os dois casos aparece apenas na publicação da Anthropic.
A empresa apresenta o trabalho como uma forma de ajudar as equipes de defesa. Diz ter comunicado cada falha conforme uma política de divulgação coordenada, que dá aos desenvolvedores 90 dias para corrigir o problema e mais 45 dias antes de a Anthropic discutir detalhes além de um comunicado público. A empresa também aponta para seu Programa de Verificação Cibernética ampliado, que oferece a profissionais aprovados acesso ao Claude Opus 5.5, ao Sonnet 5.5 e ao Mythos 5.1.
A justificativa da Anthropic para divulgar o trabalho está resumida nesta declaração: “Agora, é algo que os modelos conseguem fazer com pouca intervenção humana e depois demonstrar por meio da produção de um exploit funcional que qualquer pessoa pode executar e verificar.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...