Um modelo de IA encadeou falhas em exploits funcionais para Chrome, Safari, Windows e Linux

A Anthropic publicou detalhes de um modelo de investigação interno, ainda não lançado, que encontrou várias vulnerabilidades no Chrome, Safari, Android, Windows e Linux e as combinou em exploits de prova de conceito funcionais, com intervenção humana mínima. Todas as falhas foram comunicadas aos fabricantes através de divulgação coordenada e já estão corrigidas. Nenhuma das cadeias foi observada num ataque real.

O que aconteceu

O essencial não é nenhuma falha em particular. Encontrar um erro de corrupção de memória é rotina. Ligar várias falhas independentes num exploit fiável, que escapa à sandbox do browser ou chega a uma shell de root, tem sido até agora trabalho de um punhado de equipas especializadas. A Anthropic afirma que o seu modelo o fez de ponta a ponta em cinco plataformas, partindo apenas de um prompt inicial.

As cinco cadeias, em resumo:

Chrome. Quatro falhas em sequência: uma corrupção de memória no motor JavaScript V8, uma fuga da sandbox de memória interna do V8 para o processo de renderização, uma condição de corrida no CacheStorage que revelou a disposição da memória do processo privilegiado do browser e um use-after-free na funcionalidade de início de sessão FedCM que completou a fuga da sandbox. A demonstração abriu a Calculadora num Mac padrão apenas uns instantes depois de a página carregar, sem qualquer outra interação. A Anthropic afirma ter entregado à Google 62 falhas do Chrome no total, todas de severidade alta ou crítica, incluindo 13 fugas da sandbox, e que todas estão corrigidas a partir do Chrome 156. As notas de lançamento da Google creditam investigadores da Anthropic que trabalharam com o Claude em algumas dessas correções, não em todas.

Safari. Esta cadeia nunca executa código nativo. Obtém acesso total de leitura e escrita à memória do browser e altera um único valor para desligar a política de mesma origem, a regra que impede um site de ler os dados de outro. Sem essa regra, uma página maliciosa pode ler o histórico e os cookies e enviar pedidos autenticados a outros sites: e-mail, banca, qualquer conta com sessão iniciada. A Apple corrigiu o use-after-free central no iOS e iPadOS 26.5.2 e credita investigadores da Anthropic que trabalharam com o Claude.

Android. A menos detalhada das cinco: uma cadeia que extrai fotografias e outros dados de um telemóvel bloqueado e roubado através de USB. A Google corrigiu-a, mas não existe um aviso público com o qual a confrontar.

Windows. A de menor impacto e a única com um rasto documental independente. Alguns pacotes manipulados bloqueiam a máquina, e repeti-los mantém-na em baixo. Não executa código nem rouba dados. A Anthropic descreve uma leitura fora dos limites no tratamento de QUIC do kernel. O CVE para que aponta, CVE-2026-33096, está registado contra o HTTP.sys com uma pontuação CVSS de 7,5, não nomeia nenhum descobridor e, no final de outubro, constava como não explorado e ausente do catálogo de vulnerabilidades exploradas da CISA.

Linux. O resultado mais grave: comandos como root, através da rede, sem credenciais e sem qualquer ação do utilizador. O alvo tem de ter um listener Multipath TCP em execução. O modelo começou por revelar um endereço do kernel para contornar o KASLR e depois reutilizou o mesmo use-after-free por condição de corrida para redirecionar a execução para código colocado pelo atacante. A prova de conceito demorou 48 minutos a obter o endereço e mais cinco a chegar à shell, e uma tentativa falhada não bloqueia o sistema, pelo que o atacante pode repetir indefinidamente. O CVE-2026-98432 associado é um use-after-free do kernel com pontuação 9,8, corrigido upstream a 15 de outubro.

Porque é que importa

Há várias coisas que merecem cabeça fria.

• Verificável versus não verificável. As correções existem, e a Apple e a Google creditam publicamente a Anthropic por correções concretas. O que ninguém fora da Anthropic consegue confirmar é quanto de cada cadeia o modelo construiu sozinho. A empresa fala em "pouca intervenção humana", mas não documenta quem fez o quê em cada passo nem identifica o modelo para além de o descrever como não lançado.
• Pontas soltas no registo público. O CVE do Windows descreve um componente diferente do indicado pela Anthropic, e o texto público do CVE do Linux fala de uma correção no TCP IPv4, não no Multipath TCP. Podem ser os mesmos erros, mas só o relato da Anthropic os liga.
• A tendência é a notícia. Mesmo descontando a componente de marketing, a direção é clara: o custo de transformar uma falha num exploit funcional está a descer, e desce mais depressa para quem tem os modelos mais poderosos. As janelas de correção que pareciam confortáveis no ano passado vão parecer apertadas no próximo.

A Anthropic apresenta o trabalho como um contributo defensivo. Afirma que cada falha passou por um processo de divulgação que dá aos fabricantes 90 dias para corrigir e mais 45 antes de discutir os detalhes técnicos, e encaminha as equipas de segurança para o seu programa de acesso verificado ao Claude Opus 5.5, Sonnet 5.5 e Mythos 5.1.

O que fazer

Nenhuma destas cadeias é uma ameaça ativa hoje, mas as correções só servem se forem instaladas.

1. Browsers e telemóveis. Distribua o Chrome 156 ou posterior por todos os equipamentos geridos e confirme que a atualização foi mesmo aplicada; o Chrome tem 62 falhas corrigidas por trás. Garanta que iPhones e iPads estão na versão 26.5.2 ou posterior e que os dispositivos Android têm as correções de segurança em dia.
2. Servidores Linux. Verifique se o Multipath TCP está ativo (sysctl net.mptcp.enabled). Se não precisar dele, desative-o. Em qualquer caso, passe para um kernel que inclua a correção do CVE-2026-98432. Primeiro os sistemas expostos à internet.
3. Servidores Windows. Aplique a atualização cumulativa de abril de 2026 que cobre o CVE-2026-33096 em tudo o que sirva HTTP/3, ou desative o HTTP/3 onde não for necessário.
4. Encurte o ciclo de correção. Encare isto como uma antevisão. Se desenvolver exploits ficar barato, o tempo entre uma correção pública e um ataque funcional vai encolher. Meça o seu tempo médio de correção nos ativos expostos à internet e defina um objetivo que consiga defender.

A falha habitual não é desconhecer o CVE, mas não saber quais dos seus sistemas ainda o têm. O serviço de análise de vulnerabilidades da 4tify verifica continuamente os sistemas expostos à procura de falhas conhecidas, já corrigidas pelo fabricante mas não aplicadas, e assinala as que continuam abertas.