27 października Google opublikowało aktualizację zabezpieczeń dla Chrome, która załatała 52 luki, z czego osiemnaście przypisano Xinyangowi Ge, badaczowi z Anthropic, lub samej firmie Anthropic, co stanowi ponad jedną na trzy. Tego samego dnia zespół Frontier Red Team z Anthropic opublikował wpis, do którego Xinyang Ge jest jednym z siedmiu współautorów.
Wpis ten przedstawia wewnętrzny, niekomercyjny model badawczy jako autora pełnych łańcuchów ataków na Chrome, Safari, Android i Linux, a także luki typu denial-of-service w systemie Windows. Anthropic pisze, że « 62 identyfikatory CVE zostały przypisane i załatane » w Chrome aż do wersji 156, wszystkie o krytycznej lub wysokiej wadze. CVE to publiczny identyfikator przypisywany luce w zabezpieczeniach.
ActuIA przeanalizowało jedenaście biuletynów bezpieczeństwa Chrome dla komputerów opublikowanych przez Google między 15 września a 29 października 2026 roku. Na 929 wymienionych luk, 77 nosi nazwisko Xinyanga Ge lub firmy Anthropic. Pierwsze zgłoszenie pochodzi z 10 września, ostatnie z 23 października, i żadna z tych luk nie ma na razie przypisanej nagrody.
Zmienny udział w zależności od biuletynu
W październiku Google opublikowało siedem aktualizacji zabezpieczeń Chrome dla komputerów, 1., 6., 13., 15., 20., 27. i 29. Wymieniają one 731 luk, z czego 72 przypisano Anthropic lub jej badaczowi, czyli około jedną na dziesięć. Proporcja ta znacznie się różni między biuletynami. Pozostaje niska w dwóch aktualizacjach wersji głównej: 14 luk na 247 dla Chrome 155 z 6 października i 15 na 353 dla Chrome 156 z 20 października. W kilku pośrednich poprawkach przekracza jedną trzecią, jak 13 października (15 luk na 37) czy 27 października (18 na 52).
Z wyjątkiem dwóch pozycji, wszystkie 77 luk wymienia tego samego badacza. Czterdzieści dziewięć przypisano « Xinyangowi Ge » bez dodatkowych wzmianek, 26 « Xinyangowi Ge (Anthropic), assisted by Claude », a dwie « Anthropic and Ada Logics », firmie konsultingowej ds. bezpieczeństwa. Osiemnaście sklasyfikowano jako krytyczne, a 59 jako wysokie. W kolumnie nagród wszystkie mają wpis « N/A » lub « TBD », czyli do ustalenia.
Zestawienie ActuIA pokazuje 55 luk przypisanych do wydania Chrome 156 z 20 października i 73 z 27 października, dnia publikacji wpisu. Ogłoszone przez Anthropic 62 CVE mieszczą się między tymi wartościami. Firma nie publikuje listy tych identyfikatorów CVE, a Google wspomina Claude’a tylko przy 26 pozycjach, więc bezpośrednie porównanie linia po linii nie jest możliwe. Google wskazuje również, że dostęp do szczegółów niektórych luk może pozostawać ograniczony « dopóki większość użytkowników nie otrzyma poprawki ».
Łatki poza Chrome
Poza Chrome, odnośniki podane przez Anthropic prowadzą do poprawek opublikowanych przed wpisem. Luka w Windows, CVE-2026-33096, została załatana podczas Patch Tuesday 14 kwietnia 2026 roku. Dotyczy sterownika HTTP.sys i umożliwia zdalny atak typu denial-of-service bez uwierzytelniania, z wynikiem CVSS 7,5 według karty Tenable. Anthropic szacuje liczbę narażonych serwerów na « kilka milionów ». Luka w jądrze Linuxa, CVE-2026-98432, została opublikowana 15 października z wynikiem 9,8 i załatana we wszystkich utrzymywanych stabilnych gałęziach, według Anthropic.
Biuletyn Apple’a cytowany przez Anthropic dotyczy iOS i iPadOS 26.5.2, wydanych 29 czerwca. Przypisuje on lukę w WebKit « Miladowi Nasrowi i Nicholasowi Carliniemu z Claudem, Anthropic », dwóm innym współautorom wpisu, a także kilka luk OpenAI Codex Security. W przypadku Androida Anthropic pisze jedynie, że problem został « rozpatrzony przez Google », bez podania numeru CVE.
Dwanaście dni mediany
Dla 77 luk w Chrome, ActuIA obliczyło odstęp między datą zgłoszenia a publikacją biuletynu: mediana wynosi dwanaście dni, z minimum 3 dni i maksimum 41. W październiku dwie aktualizacje zabezpieczeń nigdy nie są oddalone od siebie o więcej niż siedem dni. Anthropic daje wydawcom 90 dni na załatanie luki, a następnie czeka dodatkowe 45 dni przed opublikowaniem szczegółów wykraczających poza komunikat bezpieczeństwa. Jej wpis zaleca developerom analizę kodu przy każdej prośbie o scalenie i uważa, że analizowanie własnego kodu jest « ważniejsze niż kiedykolwiek ». Wersja wymagana na 29 października to 156.0.8078.79 pod Linuxem oraz 156.0.8078.79 lub 156.0.8078.80 pod Windows i Mac.
