El 27 de octubre, Google publicó una actualización de seguridad para Chrome que corrige 52 vulnerabilidades, de las cuales dieciocho se atribuyen a Xinyang Ge, investigador de Anthropic, o a Anthropic, es decir, más de una de cada tres. El mismo día, el equipo Frontier Red Team de Anthropic publicaba una entrada de la que Xinyang Ge es uno de los siete contribuidores.
Esta entrada presenta un modelo de investigación interno, no comercializado, como autor de cadenas de ataque completas contra Chrome, Safari, Android y Linux, así como de una vulnerabilidad de denegación de servicio en Windows. Anthropic escribe que « se han atribuido y corregido 62 CVE » en Chrome hasta la versión 156, todas de gravedad crítica o alta. Un CVE es un identificador público asignado a una vulnerabilidad de seguridad.
ActuIA ha revisado los once boletines de seguridad de Chrome para ordenador publicados por Google entre el 15 de septiembre y el 29 de octubre de 2026. De las 929 vulnerabilidades listadas, 77 llevan el nombre de Xinyang Ge o de Anthropic. El primer reporte data del 10 de septiembre, el último del 23 de octubre, y ninguna de estas vulnerabilidades muestra recompensa hasta la fecha.
Una proporción variable según los boletines
En octubre, Google publicó siete actualizaciones de seguridad de Chrome para ordenador, los días 1, 6, 13, 15, 20, 27 y 29. Estas listan 731 vulnerabilidades, de las cuales 72 se atribuyen a Anthropic o a su investigador, es decir, aproximadamente una de cada diez. La proporción varía considerablemente de un boletín a otro. Se mantiene baja en las dos actualizaciones de versión, con 14 vulnerabilidades de 247 para Chrome 155 el 6 de octubre y 15 de 353 para Chrome 156 el 20 de octubre. En varios parches intermedios, supera un tercio, como el 13 de octubre (15 vulnerabilidades de 37) o el 27 (18 de 52).
Aparte de dos líneas, las 77 vulnerabilidades citan al mismo investigador. Cuarenta y nueve se atribuyen a « Xinyang Ge » sin otra mención, 26 a « Xinyang Ge (Anthropic), assisted by Claude » y dos a « Anthropic and Ada Logics », una empresa de consultoría en seguridad. Dieciocho están clasificadas como críticas y 59 como altas. En la columna de recompensa, todas llevan « N/A » o « TBD », es decir, por determinar.
El recuento de ActuIA da 55 vulnerabilidades atribuidas a la salida de Chrome 156, el 20 de octubre, y 73 el 27 de octubre, día de la entrada. Las 62 anunciadas por Anthropic se sitúan entre ambas. La empresa no publica la lista de estos CVE, y Google solo menciona a Claude en 26 líneas, por lo que una comparación línea por línea no es posible. Google también indica que el acceso a los detalles de algunas vulnerabilidades puede permanecer restringido « hasta que la mayoría de usuarios haya recibido el parche ».
Parches fuera de Chrome
Fuera de Chrome, las referencias dadas por Anthropic remiten a parches publicados antes de la entrada. La vulnerabilidad de Windows, CVE-2026-33096, se corrigió durante el Patch Tuesday del 14 de abril de 2026. Afecta al controlador HTTP.sys y permite una denegación de servicio remota sin autenticación, con una puntuación CVSS de 7,5, según la ficha de Tenable. Anthropic estima en « varios millones » el número de servidores expuestos. La vulnerabilidad del núcleo Linux, CVE-2026-98432, se publicó el 15 de octubre con una puntuación de 9,8 y se corrigió en todas las ramas estables mantenidas, según Anthropic.
El boletín de Apple citado por Anthropic concierne a iOS e iPadOS 26.5.2, publicados el 29 de junio. Atribuye una vulnerabilidad de WebKit a « Milad Nasr and Nicholas Carlini with Claude, Anthropic », otros dos contribuidores de la entrada, así como varias vulnerabilidades a OpenAI Codex Security. Para Android, Anthropic escribe solo que el problema fue « tratado por Google », sin número de CVE.
Doce días de mediana
Para las 77 vulnerabilidades de Chrome, ActuIA ha calculado la diferencia entre la fecha de reporte y la publicación del boletín: doce días de mediana, con un mínimo de 3 días y un máximo de 41. En octubre, dos actualizaciones de seguridad nunca están separadas por más de siete días. Anthropic otorga 90 días a los editores para corregir, luego espera 45 días más antes de publicar detalles que superen el aviso de seguridad. Su entrada recomienda a los desarrolladores analizar el código en cada solicitud de fusión, y considera que analizar su propio código es « más importante que nunca ». La versión a exigir al 29 de octubre es 156.0.8078.79 bajo Linux, y 156.0.8078.79 o 156.0.8078.80 bajo Windows y Mac.
