Anthropic dice que Claude demostró propiedades de seguridad en 123 bibliotecas de código abierto
Anthropic afirmó que sus modelos Claude podían producir pruebas formales de propiedades de seguridad en código compilado a través de 123 bibliotecas de código abierto, un resultado que la empresa describió como un paso hacia la verificación formal de software a una escala mucho mayor. En la publicación de investigación publicada el 22 de octubre de 2026, Anthropic afirmó que el trabajo también reveló errores que habían pasado desapercibidos durante años.
Evidencia y contexto
Según Anthropic, Claude demostró que 239 puntos de entrada en esas bibliotecas 123 no se bloquearían con ninguna entrada inferior a 64 MB bajo las condiciones modeladas del proyecto. La empresa afirmó que las demostraciones se aplicaron a nivel de código ensamblador en binarios RISC-V y utilizaron la semántica formal de Theorem para el comportamiento de procesos RISC-V y Linux. Anthropic afirmó que el esfuerzo abarcaba software de código abierto del mundo real, incluyendo bibliotecas de la iniciativa OSS-Fuzz de Google, y que representa, hasta donde sabe, el primer uso a gran escala de IA para aplicar la verificación formal a software de producción a nivel de código ensamblador.
La empresa dijo que las pruebas se generaron durante varias semanas y que Claude también parcheó errores encontrados durante el proceso. Entre los ejemplos listados estaban una escritura fuera de límites provocada por un raro diseño de entrada de 20 MB, una lectura fuera de límites en un decodificador de imagen que requería una entrada de 64 MB y más de 2 GB de memoria, un fallo vinculado a una secuencia de llamadas concreta entre dos handles de archivo y un redescubrimiento de CVE-2026-56132 en libexpat. Anthropic también señaló que el esfuerzo descubrió errores lógicos que no provocaron que el software se bloqueara, incluyendo uno caso en el que no siempre se aplicaba una función de restricción de acceso a archivos.
La empresa afirmó que las demostraciones son condicionales y no implican que el software esté libre de errores. Su propia sección de limitaciones dice que las garantías dependen de supuestos modelados, incluyendo binarios estáticos de hilo único con presupuesto de memoria fijo ejecutándose en RISC-V Linux, y que el trabajo no cubre todos los puntos de entrada ni todas las formas en que el software puede usarse en producción. Anthropic dijo que la incertidumbre restante se concentra en los componentes confiables: la semántica RISC-V y Linux, las afirmaciones del teorema y el comprobador de demostraciones Rocq.
Por qué es importante
Anthropic enmarcó el trabajo como una prueba de que los LLMs pueden reducir el coste de la verificación formal, que históricamente ha requerido un esfuerzo altamente especializado y normalmente se ha limitado a sistemas críticos para la misión. La publicación dice que los modelos más grandes necesitaban menos tokens para algunas tareas de verificación, mientras que los componentes compartidos de pruebas reducían la duplicación entre proyectos relacionados. La empresa también dijo que planea publicar un subconjunto de las demostraciones y que Theorem ofrecerá la misma cadena para otros proyectos de código abierto.
La investigación es coherente con trabajos más amplios de la industria que muestran que la verificación formal puede complementar las pruebas en lugar de reemplazarlas. Pero, como señala la propia Anthropic, el valor de una prueba sigue dependiendo de si la especificación y el modelo máquina coinciden con la realidad, y muchas suposiciones de despliegue permanecen fuera del alcance de las afirmaciones verificadas.