في 27 أكتوبر، نشرت جوجل تحديثًا أمنيًا لمتصفح كروم قام بإصلاح 52 ثغرة، منها ثماني عشرة ثغرة تُنسب إلى Xinyang Ge، الباحث في أنثروبيك، أو إلى أنثروبيك نفسها، أي أكثر من ثلث الثغرات. في نفس اليوم، نشر فريق Frontier Red Team التابع لأنثروبيك منشورًا يُعد Xinyang Ge أحد سبعة مساهمين فيه.
يقدم هذا المنشور نموذجًا بحثيًا داخليًا، غير تجاري، باعتباره منشئ سلاسل هجوم كاملة ضد كروم وسفاري وأندرويد ولينكس، بالإضافة إلى ثغرة حجب خدمة على نظام ويندوز. وتذكر أنثروبيك أن « 62 CVE تم تعيينها وإصلاحها » في كروم حتى الإصدار 156، وجميعها ذات خطورة حرجة أو عالية. وCVE هو معرف عام يُخصص لثغرة أمنية.
رصدت ActuIA إحدى عشرة نشرة أمنية لكروم على الحواسيب نشرتها جوجل بين 15 سبتمبر و29 أكتوبر 2026. من بين 929 ثغرة مدرجة، تحمل 77 اسم Xinyang Ge أو أنثروبيك. أول إبلاغ كان في 10 سبتمبر، وآخر إبلاغ في 23 أكتوبر، ولا تظهر أي من هذه الثغرات مكافأة حتى تاريخه.
نسبة متفاوتة حسب النشرات
في أكتوبر، نشرت جوجل سبعة تحديثات أمنية لكروم على الحواسيب، في الأول والسادس والثالث عشر والخامس عشر والعشرين والسابع والعشرين والتاسع والعشرين. وهي تسرد 731 ثغرة، منها 72 ثغرة تُنسب إلى أنثروبيك أو باحثها، أي حوالي ثغرة واحدة من كل عشر. وتختلف النسبة بشكل كبير من نشرة إلى أخرى. تظل منخفضة في التحديثين الرئيسيين للإصدار، مع 14 ثغرة من أصل 247 لكروم 155 في 6 أكتوبر و15 من أصل 353 لكروم 156 في 20 أكتوبر. في عدة تصحيحات وسيطة، تتجاوز النسبة الثلث، كما في 13 أكتوبر (15 ثغرة من أصل 37) أو في 27 أكتوبر (18 من أصل 52).
باستثناء سطرين، تذكر الثغرات السبع والسبعون نفس الباحث. تسعة وأربعون ثغرة تُنسب إلى « Xinyang Ge » دون ذكر آخر، و26 إلى « Xinyang Ge (Anthropic), assisted by Claude » واثنتان إلى « Anthropic and Ada Logics »، وهي شركة استشارات أمنية. ثماني عشرة ثغرة مصنفة على أنها حرجة و59 على أنها عالية. في عمود المكافأة، تحمل جميعها « N/A » أو « TBD »، أي قيد التحديد.
يبلغ إحصاء ActuIA 55 ثغرة مُنسبة عند إصدار كروم 156 في 20 أكتوبر، و73 ثغرة في 27 أكتوبر، يوم نشر المنشور. تقع الـ 62 ثغرة التي أعلنت عنها أنثروبيك بين الرقمين. لا تنشر الشركة قائمة هذه CVE، ولا تذكر جوجل Claude إلا في 26 سطرًا، مما يجعل المطابقة سطرًا بسطر غير ممكنة. تشير جوجل أيضًا إلى أن الوصول إلى تفاصيل بعض الثغرات قد يظل مقيدًا « حتى يحصل غالبية المستخدمين على التصحيح ».
تصحيحات خارج كروم
خارج كروم، تشير المراجع التي قدمتها أنثروبيك إلى تصحيحات نُشرت قبل المنشور. تم إصلاح ثغرة ويندوز، CVE-2026-33096، خلال يوم التصحيح (Patch Tuesday) في 14 أبريل 2026. تؤثر على برنامج تشغيل HTTP.sys وتتيح حجب خدمة عن بُعد دون مصادقة، مع درجة CVSS تبلغ 7.5، وفقًا لورقة Tenable. تقدر أنثروبيك عدد الخوادم المعرضة بـ « عدة ملايين ». نُشرت ثغرة نواة لينكس، CVE-2026-98432، في 15 أكتوبر بدرجة 9.8 وتم إصلاحها في جميع الفروع المستقرة التي تتم صيانتها، وفقًا لأنثروبيك.
تتعلق نشرة آبل التي استشهدت بها أنثروبيك بـ iOS وiPadOS 26.5.2، التي نُشرت في 29 يونيو. تنسب ثغرة في WebKit إلى « Milad Nasr and Nicholas Carlini with Claude, Anthropic »، وهما مساهمان آخران في المنشور، بالإضافة إلى عدة ثغرات إلى OpenAI Codex Security. بالنسبة لأندرويد، تكتب أنثروبيك فقط أن المشكلة تم « معالجتها من قبل جوجل »، دون رقم CVE.
اثنا عشر يومًا كوسيط
بالنسبة للثغرات السبع والسبعين في كروم، قامت ActuIA بحساب الفارق بين تاريخ الإبلاغ ونشر النشرة: اثنا عشر يومًا كوسيط، مع حد أدنى 3 أيام وحد أقصى 41 يومًا. في أكتوبر، لا تفصل أكثر من سبعة أيام بين أي تحديثين أمنيين. تمنح أنثروبيك الناشرين 90 يومًا للإصلاح، ثم تنتظر 45 يومًا إضافيًا قبل نشر تفاصيل تتجاوز الإشعار الأمني. يوصي منشورها المطورين بتحليل الكود عند كل طلب دمج، ويحكم أن تحليل الكود الخاص بهم أصبح « أكثر أهمية من أي وقت مضى ». الإصدار المطلوب اعتماده حتى 29 أكتوبر هو 156.0.8078.79 على لينكس، و156.0.8078.79 أو 156.0.8078.80 على ويندوز وماك.
