Anthropic anunció el viernes que descubrió 22 nuevas vulnerabilidades de seguridad en su navegador web Firefox como parte de una asociación de seguridad con Mozilla.
De estos, 14 se clasificaron como graves, 7 como moderados y 1 como de gravedad baja. Este problema se resolvió en Firefox 148 lanzado a finales del mes pasado. Esta vulnerabilidad se identificó durante un período de dos semanas en enero de 2026.
La compañía de inteligencia artificial (IA) dijo que la cantidad de errores de alta gravedad identificados por su modelo de lenguaje a gran escala (LLM) Claude Opus 4.6 representaba «casi una quinta parte» de todas las vulnerabilidades de alta gravedad parcheadas en Firefox en 2025.
Según Anthropic, LLM detectó el error de uso después de la liberación en el JavaScript del navegador después de «sólo» 20 minutos de investigación, que luego fue verificado por investigadores humanos en un entorno virtualizado para eliminar la posibilidad de falsos positivos.
«Al final de este esfuerzo, habíamos escaneado aproximadamente 6.000 archivos C++ y presentado un total de 112 informes independientes, incluidas las vulnerabilidades de gravedad alta y media antes mencionadas», dijo la compañía. «La mayoría de los problemas se han solucionado en Firefox 148 y los problemas restantes se solucionarán en versiones futuras».
La startup de IA dijo que le dio a sus modelos Claude acceso a la lista completa de vulnerabilidades enviadas a Mozilla y encargó a la herramienta de IA que desarrollara exploits que funcionaran para ellos.
La compañía dijo que a pesar de realizar cientos de pruebas y gastar alrededor de $4,000 en créditos API, Claude Opus 4.6 solo pudo convertir una falla de seguridad en un exploit en dos casos.
La empresa añadió que este comportamiento ilustra dos aspectos importantes. Primero, el costo de identificar una vulnerabilidad es más barato que crear una forma de explotarla, y este modelo es mejor para encontrar problemas que para explotarlos.
«Sin embargo, el hecho de que Claude fuera capaz de automatizar el desarrollo de un exploit de navegador crudo, incluso en un pequeño número de casos, es alarmante», enfatizó Anthropic, añadiendo que el exploit sólo funcionó dentro de un entorno de prueba que eliminó intencionalmente características de seguridad como el sandboxing.
Un componente clave integrado en el proceso es una herramienta de validación de tareas que determina si el exploit realmente funciona. Esto le brinda a la herramienta retroalimentación en tiempo real mientras explora la base del código del problema y le permite iterar sobre los resultados hasta que el exploit sea exitoso.
Uno de esos exploits creado por Claude es para CVE-2026-2796 (puntuación CVSS: 9,8), que se describe como una mala compilación justo a tiempo (JIT) de componentes JavaScript WebAssembly.
La divulgación se produce semanas después de que la compañía publicara Claude Code Security en una vista previa de investigación limitada como una forma de remediar vulnerabilidades utilizando agentes de inteligencia artificial.
«No podemos garantizar que todos los parches producidos por agentes que pasen estas pruebas sean suficientes para fusionarse inmediatamente», dijo Anthropic. «Sin embargo, el uso de una herramienta de validación de tareas aumenta la confianza en que el parche creado corrige una vulnerabilidad específica preservando al mismo tiempo la funcionalidad del programa, logrando así lo que se considera el requisito mínimo para un parche razonable».
Mozilla dijo en un anuncio conjunto que se descubrieron otros 90 errores a través de su enfoque impulsado por IA, la mayoría de los cuales han sido solucionados. Estos consistían en errores de aserción que se superponían con problemas tradicionalmente descubiertos mediante fuzzing, y una clase separada de errores lógicos que los fuzzers no lograban detectar.
«La escala de nuestros hallazgos refleja el poder de combinar una ingeniería rigurosa con nuevas herramientas analíticas para una mejora continua», dijo el fabricante del navegador. «Consideramos esto como una prueba contundente de que el análisis a gran escala asistido por IA es una nueva incorporación a la caja de herramientas del ingeniero de seguridad».
Source link
