Qué ocurrió realmente
El 27 de octubre, el Frontier Red Team de Anthropic publicó cinco cadenas de exploits funcionales contra Chrome, Safari, Android, Windows y Linux. Todas fueron encontradas y construidas por un único modelo sin publicar, con muy poca o ninguna intervención humana. Ninguna se ha visto en un ataque real y cada fallo se reportó al fabricante y se corrigió. Léelo como una demostración de capacidad, no como un incidente.
La cadena estrella es Chrome en macOS. Cuatro fallos distintos encadenados en secuencia: una corrupción de heap en V8, un segundo fallo que escapa del sandbox de memoria de V8 y derrota ASLR, una condición de carrera en CacheStorage para leer fuera del sandbox y descubrir la disposición del proceso del navegador, y por último un use-after-free en FedCM para ejecutar código completamente fuera del sandbox. La prueba de concepto abre la calculadora en un Chrome de fábrica a los pocos segundos de cargar una página.
Anthropic dice haber reportado 62 fallos a Google, todos con CVE asignado y corregidos en Chrome 156, todos críticos o altos, incluidos 13 escapes de sandbox.
La cadena de Safari no ejecuta código en ningún momento. Convierte un use-after-free de JavaScriptCore en lectura y escritura completa sobre la memoria del navegador y luego cambia una sola variable para desactivar la política de mismo origen, la regla que impide que un sitio lea los datos de otro. A partir de ahí, una página maliciosa puede leer tu historial, tus cookies y respuestas autenticadas de sitios donde tienes sesión abierta. Una sesión bancaria. Una bandeja de correo.
Android es el escenario de acceso físico: tres vulnerabilidades encadenadas para saltarse la pantalla de bloqueo de un Pixel 9 y extraer fotos y datos personales de un teléfono robado sin conocer el PIN. Windows es una denegación de servicio: unos pocos paquetes tumban un servidor que responde HTTP/3 y seguir enviando lo mantiene caído, registrado como CVE-2026-33096. El modelo lo encontró desde un binario, sin código fuente ni símbolos.
Y luego Linux, el más peligroso de los cinco. Un use-after-free por condición de carrera en la pila de red del kernel se convierte en un root remoto sin interacción contra cualquier servidor con un listener de multipath TCP. Sin credenciales. Sin interacción. El exploit derrota KASLR en remoto filtrando un puntero del kernel durante 48 minutos y luego redirige la ejecución a una carga útil preparada en los siguientes cinco. Un intento fallido solo corta el handshake, así que el atacante puede reintentar indefinidamente. Registrado como CVE-2026-98432, CVSS 9.8, corregido en upstream y retroportado.
Por qué esto importa más que cualquier CVE aislado
Desarrollar exploits siempre ha sido la parte cara de la ofensiva. Encontrar un fallo es difícil. Convertir cuatro fallos en una cadena que sobreviva a ASLR, al sandbox y a una carrera que hay que ganar es el año de un especialista. La afirmación de Anthropic es que ese año ahora son minutos.
Las notas de versión de los propios fabricantes respaldan al menos una parte: Google acredita a un investigador de Anthropic asistido por Claude en correcciones concretas, y Apple acredita a dos investigadores de Anthropic con Claude por el use-after-free de Safari.
Lo que no se puede verificar desde fuera es cuánto dirigió una persona. Anthropic dice que el prompting inicial hizo la mayor parte del trabajo, pero no detalla qué hizo alguien en cada paso. Dos de las cinco cadenas se apoyan en la descripción de Anthropic y no en un rastro independiente: el registro CVE de Windows nombra HTTP.sys en lugar del camino QUIC, y el de Linux describe una corrección de TCP IPv4. Ninguno está en el catálogo de explotación conocida de CISA.
Así que sostén las dos verdades. La capacidad es real y la contabilidad es imperfecta. La conclusión estratégica no cambia en ninguno de los dos casos.
La parte que la mayoría se saltará
Escondida en la metodología hay una lección realmente reutilizable: escáneres en paralelo, medidos por cuántas vulnerabilidades adicionales aporta cada uno, con cobertura registrada para procesar todo el código. Y luego la corrección que importa más que todas ellas: escanear en el momento del pull request. Limpiar el backlog resuelve la mitad del problema. La otra mitad es evitar que entren fallos nuevos.
Es la misma forma del argumento que repetimos sobre los agentes. Capacidad sin control es solo una manera más rápida de perder.
Qué hacer esta semana
- Comprime tu reloj de parcheo. Si una cadena se construye en una sesión de investigación, tu ciclo de borde de 30 días es un pasivo. Infraestructura crítica de borde y orientada al navegador con una ventana de 24 horas, parcheada o mitigada.
- Parchea los navegadores como si fueran servidores de producción. Chrome 156, iOS 26.5.2, los retroportes del kernel de Linux. El porcentaje de cumplimiento de tu parque es el único que cuenta.
- Revisa tus supuestos sobre el mismo origen. Si una sola primitiva de memoria puede desactivar la SOP, tus cookies de sesión son el perímetro. Tokens de vida corta, ligados al dispositivo y rotados al cambiar privilegios.
- Exige revisión de MPTCP. Multipath TCP está desactivado por defecto en casi todas partes. Confirma que lo está en todo lo expuesto a internet y trata cualquier listener que no habilitaste a conciencia como un incidente.
- Asume que un modelo lee tu código. La ofuscación ya no es defensa. La arquitectura, el mínimo privilegio y la telemetría sí lo son.
- Instrumenta el tráfico de IA en tu propia red. Anthropic publica un plugin de Claude Code con guía de seguridad, y la misma herramienta que encuentra fallos en tu repositorio puede encontrarlos en el de otro. Sabes qué servidores tuyos pueden llamar a un modelo.
La conclusión incómoda es que la defensa ahora tiene la misma línea de producción que acaba de tener la ofensiva. El programa ampliado Cyber Verification de Anthropic da a defensores verificados acceso a modelos de frontera justamente para este trabajo. Los equipos que lo conecten a su pipeline este trimestre encontrarán sus propios fallos antes que nadie.
El resto leerá sobre ellos en una nota de divulgación coordinada, ya corregidos, parcheados y un día por detrás.