A Anthropic publicou o relato mais pormenorizado até hoje sobre o que os seus modelos de fronteira conseguem fazer como investigadores de segurança ofensiva. Num texto datado de 27 de outubro, a equipa Frontier Red Team descreve cinco cadeias de exploração que um modelo interno de investigação, ainda não lançado, encontrou e montou nos últimos meses, visando alguns dos programas mais usados no mundo: Chrome, Safari, Android, Windows e Linux.
O caso do Chrome é o mais impressionante. Segundo a Anthropic, depois de uma instrução inicial o modelo descobriu quatro erros distintos e encadeou-os: uma corrupção de memória no motor JavaScript V8, uma segunda falha que fugia ao sandbox de memória do V8 e anulava a aleatorização de endereços, uma condição de corrida no CacheStorage que revelava a disposição da memória do processo do navegador e um use-after-free na funcionalidade de autenticação FedCM que permitia executar código fora do sandbox de processos. A prova de conceito abria a Calculadora num Chrome com configuração de origem em macOS, segundos após carregar uma página. A Google atribuiu e corrigiu 62 CVE resultantes deste trabalho até ao Chrome 156, todas de gravidade alta ou crítica, incluindo 13 fugas ao sandbox, afirma a Anthropic.
No Safari, o modelo construiu uma cadeia que nunca precisou de executar código próprio. Juntou um use-after-free no JavaScriptCore, uma forma de contornar o isolamento Gigacage do WebKit e uma falha na camada IPC do sandbox para desligar a política de mesma origem, o que deixaria uma página maliciosa ler o histórico, os cookies e dados de outros sites onde o utilizador tem sessão iniciada. A Apple reconheceu o relatório no próprio dia e já distribuiu uma correção, segundo a Anthropic.
Os outros três casos cobrem terrenos diferentes. Num Google Pixel 9, o modelo encadeou três falhas para extrair fotografias e dados pessoais de um telemóvel bloqueado através de USB, combinando a leitura do código do Android com engenharia inversa dos Google Play services; a Google já resolveu o problema. No Windows, a análise binária da implementação QUIC do núcleo revelou uma leitura fora dos limites capaz de derrubar qualquer servidor que responda a pedidos HTTP/3 nativos, agora registada como CVE-2026-33096. No Linux, uma condição de corrida no multipath TCP dava a um atacante remoto uma consola root sem credenciais; a prova de conceito levou cerca de 48 minutos a obter um ponteiro do núcleo e mais cinco a executar comandos, e a correção, CVE-2026-98432, chegou às versões estáveis do núcleo.
A Anthropic garante que todas as descobertas seguiram divulgação coordenada: os fabricantes tiveram 90 dias para corrigir e mais 45 antes de a empresa discutir pormenores adicionais. O texto não identifica o modelo nem diz se, ou quando, será lançado.
A empresa explica ainda o método. Muitos agentes de análise correram em paralelo com estratégias diferentes, desde examinar cada função até procurar violações do modelo de ameaças documentado de uma aplicação, e cada um era avaliado pelo número de erros novos que acrescentava. Cada descoberta confirmada passava depois por análise automática de variantes e por um circuito comum de verificação e classificação de gravidade. Para a Anthropic, gastar mais capacidade de cálculo no momento da análise e diversificar os agentes aumenta o número de falhas encontradas, e a recomendação é analisar o código logo no pull request, para o que disponibilizou um plugin de segurança para o Claude Code.
O texto funciona como aviso: encadear exploits, antes tarefa de poucas equipas especializadas, passou a estar ao alcance de um modelo com pouca ajuda humana. A Anthropic encaminha os defensores para o seu Cyber Verification Program alargado, que dá a profissionais de segurança verificados acesso a modelos como o Claude Mythos 5.1 com menos classificadores de bloqueio. O relato é apenas da Anthropic: além dos números CVE e das correções que cita, não há documentação independente sobre o grau de orientação humana nem sobre a taxa de sucesso do modelo.