Claude Encontra Duas Falhas Críticas De Escape No Hipervisor Xen

O Projeto Xen publicou na terça-feira, 3 de novembro, o aviso de segurança XSA-523, com a revelação de duas falhas críticas no mecanismo de cópia de grants do hipervisor — e com um crédito inédito: o Claude, modelo da Anthropic, foi creditado oficialmente como descobridor. As CVE-2026-102703 e CVE-2026-102704 marcam o primeiro caso confirmado de um sistema comercial de IA recebendo crédito público de descoberta em um aviso de segurança upstream de hipervisor.

Na prática, as duas falhas têm o mesmo efeito: uma VM convidada maliciosa pode ler e escrever na memória de qualquer outra VM no mesmo host, incluindo o dom0 — o domínio privilegiado que controla o hardware e o acesso a dispositivos. O resultado é um escape de memória entre inquilinos que quebra a garantia central de isolamento de um hipervisor: máquinas virtuais que deveriam ser cegas umas às outras.

O Que O Grant Copy Tem A Ver Com Isso

O grant copy é o mecanismo pelo qual as VMs trocam dados entre si sem passar tudo pela CPU. Para ganhar desempenho, o Xen aglomera cópias em intervalos adjacentes da mesma página e guarda em cache os números de frame e as referências de grant já validados. O problema é que as condições de revalidação estavam erradas em alguns casos: com isso, números de frame e referências de grant podiam ser trocados entre si, e o convidado alcançava memória à qual não deveria ter acesso.

As duas CVEs detalham facetas do mesmo defeito. A CVE-2026-102703 mistura números de frame e referências de grant. A CVE-2026-102704 tem uma verificação de validação no lugar errado: a cópia por número de frame só é permitida na memória do próprio chamador, e a checagem que impõe essa restrição estava posicionada incorretamente.

"Um único convidado comprometido pode escapar do seu isolamento e assumir o host inteiro." — notas de atualização do XCP-ng, distribuição que empacota o Xen

Claude No Commit E Reprodução Independente

O próprio aviso credita a descoberta: "A Anthropic identificou estas falhas usando seu modelo Claude". Stephan Lipp, da Ada Logics, validou os achados, e a equipe CodeAnt reportou os mesmos problemas de forma independente. O commit da correção carrega no final a linha "Assisted-by: Claude" — provável recorde em patches de hipervisor.

O que ainda não se sabe é o método: a Anthropic não publicou se foi uma busca sem supervisão ou revisão orientada por humanos — o que define quanto peso o crédito terá junto a outros mantenedores de hipervisores. A reprodução independente, porém, já dá aos achados o respaldo técnico para o processo de correção.

O Lado Que Preocupa: Anos De Xen Sem Correção

O escopo é amplo: todas as versões do Xen a partir da 4.6 são afetadas; as 4.5 e anteriores não são vulneráveis. Correções já saíram para o XCP-ng 8.3 e para o Qubes OS 4.3 — ambos exigem reinicialização do host, e no Qubes os usuários de Anti Evil Maid ainda precisam re-sellar suas frases de senha após o patch. Já os ramos Xen 4.6 até 4.16 ficaram sem correção: o suporte à 4.16 terminou em dezembro de 2024, e uma década de implantações produtivas segue sem caminho oficial de remediação.

Há um alívio parcial: até 5 de novembro não há código público de exploração nem ataques observados em vida selvagem, e o vetor é local, o que limita a exploração em massa — a classificação crítica convive aí com um CVSS de 4.4. Para operadores de nuvem rodando trens legados de Xen, o recado segue duro: ou atualizam para os ramos corrigidos, ou vivem com um escape de memória entre inquilinos sem correção do fornecedor. Para a indústria de IA, o episódio é mais um marco: quando um modelo encontra uma falha desta escala e recebe crédito formal, a caça a vulnerabilidades deixa de ser exclusivamente humana.