Anthropic: Claude não lançado encontrou falhas críticas no Chrome, Safari, Android, Windows e Linux

Em 27 de outubro de 2026 a Frontier Red Team da Anthropic publicou um relatório sobre o uso de um modelo interno de pesquisa ainda não lançado para encontrar vulnerabilidades críticas em navegadores e sistemas operacionais amplamente usados e transformá-las em cadeias de ataque funcionais «com pouca ou nenhuma interação do usuário». A empresa diz que cada problema foi reportado ao fabricante sob divulgação coordenada (90 dias para corrigir, mais 45 antes de discutir mais detalhes).

Cinco cadeias divulgadas (em alto nível)

• Chrome: cadeia de vários bugs que podia executar código fora do sandbox após visitar uma página maliciosa. A Anthropic diz que o Google atribuiu e corrigiu 62 CVEs no Chrome 156 (críticos ou altos), incluindo 13 escapes de sandbox.
• Safari: cadeia que podia contornar a política de mesma origem e acessar dados de outros sites onde o usuário está logado. A Anthropic diz que a Apple já lançou correção.
• Android: falhas encadeadas que, no teste da Anthropic com um Pixel 9 bloqueado, permitiam extrair dados pessoais via USB. O Google tratou o problema, segundo a Anthropic.
• Windows: falha disparável remotamente na pilha nativa HTTP/3 (QUIC) que podia derrubar servidores em escuta; a Microsoft atribuiu CVE-2026-33096.
• Linux: condição de corrida no multipath TCP que, segundo a Anthropic, permitia execução remota de código como root sem credenciais; corrigida upstream como CVE-2026-98432 e backportada.

Contexto e limites

A Anthropic apresenta o trabalho como prova de que modelos de fronteira já podem descobrir e combinar vários bugs num exploit verificado com pouca ajuda humana, e urge defensores a varrer o próprio código (também em pull requests). A nota pública descreve resultados e o status nos fabricantes; não publica receitas passo a passo para atacantes externos. Detalhes abaixo das cifras principais vêm do anúncio da Anthropic e não foram retestados aqui de forma independente.