TU NAVEGADOR, TU MÓVIL, TU EQUIPO WINDOWS, TU SERVIDOR. UN MODELO LO ROMPIÓ TODO EN ALGUNOS MESES. Hace dos días les dije a todos que actualizaran sus kernels de Ubuntu para CVE-2026-98432. Hoy descubrí quién encontró ese error. No fue una persona. Anthropic publicó un informe de su Frontier Red Team. Un modelo no lanzado pasó varios meses buscando vulnerabilidades en Chrome, Safari, Android, Windows y Linux. Y no solo las encontró: las encadenó en exploits funcionales y escribió el proof of concept por sí mismo. El de Linux me dejó impactado. Multipath TCP, cero clics por parte de la víctima. 48 minutos para exponer un puntero del kernel remotamente, 5 minutos más y tienes root en el servidor de alguien más. En mi publicación dije que el resultado probable era un bloqueo. Me equivoqué: podías tomar el control completo del equipo. Chrome es un tema aparte. Cuatro vulnerabilidades seguidas, un solo clic, y se abre la Calculadora en una Mac. Google terminó asignando 62 CVEs. Un Pixel 9 bloqueado fue comprometido por USB y se extrajeron sus fotos. Los servidores Windows fueron bloqueados remotamente tras que el modelo realizara el reverse engineering del binario en Ghidra. La parte incómoda es que el modelo no se cansa. Su configuración ejecuta un enjambre de agentes escáner en paralelo y rastrea la cobertura para que ninguna parte del código base quede sin analizar. Actualmente, este equipo otorga a los proveedores 90 días para corregir las vulnerabilidades. La verdadera pregunta es cuánto tiempo faltará para que alguien realice lo mismo pero sin dar nada a nadie. Actualiza Chrome. Actualiza el kernel. Reinicia realmente.
