Qué es Claude Mythos y por qué preocupa a expertos en seguridad informática
"Claude Mythos es una IA que puede detectas fallos informáticos.
La empresa de inteligencia artificial Anthropic presentó Claude Mythos Preview, un modelo experimental con capacidades avanzadas de ciberseguridad que ha generado preocupación entre expertos por su potencial para identificar y explotar vulnerabilidades críticas en sistemas informáticos.
Según la propia compañía, esta IA es capaz de detectar fallos de tipo “zero-day” —errores desconocidos incluso para los desarrolladores— y, en muchos casos, diseñar métodos para aprovecharlos de forma autónoma.
De acuerdo con los ingenieros de Anthropic, el modelo representa un salto significativo respecto a versiones anteriores. Durante sus pruebas iniciales, Claude Mythos logró identificar miles de vulnerabilidades en sistemas operativos y navegadores ampliamente utilizados, y fue capaz de generar exploits funcionales para aproximadamente el 72% de ellas en determinadas categorías.
Ante el riesgo que implica esta capacidad, la empresa decidió no liberar públicamente la herramienta. En su lugar, convocó a un grupo de 50 compañías tecnológicas para trabajar de forma conjunta en la corrección de los fallos detectados. Entre las organizaciones involucradas se encuentran Amazon Web Services, Apple, Google, Microsoft, Nvidia y The Linux Foundation, entre otras.
El objetivo de esta colaboración es cerrar las brechas de seguridad antes de que herramientas similares puedan ser utilizadas con fines maliciosos. Como parte de la iniciativa, Anthropic planea destinar hasta 100 millones de dólares en créditos de uso de IA para que estas empresas analicen y refuercen el software que sustenta la infraestructura digital global.
Claude Mythos destaca por su capacidad para realizar auditorías de seguridad de manera casi autónoma. A partir de instrucciones simples, el modelo puede analizar grandes volúmenes de código en sistemas operativos, navegadores, librerías y otras herramientas, identificando errores que podrían pasar desapercibidos para expertos humanos o herramientas tradicionales.
Uno de los casos más llamativos reportados por la compañía es el hallazgo de una vulnerabilidad con 27 años de antigüedad en OpenBSD, un sistema conocido precisamente por su enfoque en la seguridad. Este descubrimiento ilustra el alcance del modelo y su capacidad para detectar fallos en software considerado altamente robusto.
El proyecto, denominado internamente como Glasswing, reúne a grandes empresas tecnológicas y de ciberseguridad para evaluar el impacto de estas capacidades. Firmas especializadas como Palo Alto Networks y CrowdStrike han señalado que tareas que antes requerían meses o incluso años de trabajo pueden realizarse ahora en cuestión de minutos gracias a la inteligencia artificial.
Este avance plantea un escenario dual. Por un lado, ofrece una herramienta poderosa para fortalecer la seguridad digital a gran escala, permitiendo identificar y corregir vulnerabilidades de forma más rápida y eficiente. Por otro, abre la posibilidad de que tecnologías similares sean utilizadas por actores maliciosos para explotar fallos antes de que sean solucionados.
La preocupación radica en que el desarrollo de modelos con estas capacidades podría superar la velocidad a la que la industria puede adaptarse. Si bien el uso controlado de estas herramientas puede mejorar la seguridad, su eventual acceso por parte de ciberdelincuentes representaría un riesgo significativo para sistemas críticos en todo el mundo.
Anthropic sostiene que su enfoque busca adelantarse a ese escenario, utilizando la misma tecnología que podría representar una amenaza para reforzar las defensas antes de que sea demasiado tarde. Sin embargo, el lanzamiento de Claude Mythos también refleja un cambio en la dinámica de la ciberseguridad, donde la inteligencia artificial no solo es una herramienta de protección, sino también un posible vector de riesgo.
En un contexto donde la infraestructura digital global depende de software cada vez más complejo, la aparición de modelos capaces de analizar y explotar vulnerabilidades a gran escala marca un punto de inflexión. La carrera por asegurar estos sistemas podría intensificarse en los próximos años, impulsada por el avance de tecnologías como Claude Mythos. "
Como referencia
Sonarqube
Tipos de pruebas de software
¿Qué es un Sandbox o entorno de pruebas?
Software Testing News
Sistema informático confiable
Ciberseguridad: cómo combate la UE las amenazas cibernéticas
Bug Bounty: cómo funciona el mundo del Hacking Ético y la cacería de vulnerabilidades
Prueba de software ISO / IEC / IEEE 29119
¿Qué es un Sandbox o entorno de pruebas?
Software Testing News
Sistema informático confiable
Ciberseguridad: cómo combate la UE las amenazas cibernéticas
Bug Bounty: cómo funciona el mundo del Hacking Ético y la cacería de vulnerabilidades
Prueba de software ISO / IEC / IEEE 29119
Sonarqube
"La semana pasada, Anthropic anunció que su modelo de inteligencia artificial más reciente, Claude Mythos Preview, no estará disponible para el público, después de que la empresa descubriera que era capaz de encontrar y explotar vulnerabilidades que han pasado desapercibidas en sistemas de software críticos durante décadas. En su lugar, Anthropic dio acceso a Mythos —y 100 millones de dólares en créditos para utilizarlo— a más de 50 de las organizaciones más grandes del mundo, entre ellas Amazon, Apple, Microsoft, Google y JPMorgan Chase, como parte de una iniciativa defensiva de ciberseguridad denominada Proyecto Glasswing.
Incluso antes del anuncio, los modelos de IA disponibles para el público ya encontraban vulnerabilidades de seguridad en software de uso común. Los investigadores de Anthropic reconocieron que a otros laboratorios les faltan entre 6 y 18 meses para construir algo comparable. Estas capacidades, y las amenazas que suponen para la ciberseguridad, proliferarán. Desde las plataformas de emisión en continuo hasta los servicios bancarios en línea, pasando por los motores de búsqueda que responden a preguntas cotidianas, amplias franjas de internet podrían quedar inutilizables.
Si no respondemos con cuidado y decisión, los millones de personas que más pueden beneficiarse del progreso de la IA como herramienta de programación serán también los más expuestos a los ataques. Dejarlos a su suerte podría erosionar internet tal y como lo conocemos.
Puede que ya estés familiarizado con el concepto de vibe coding: utilizar herramientas de IA para convertir descripciones con lenguaje llano en software funcional. El propietario de una tienda describe el sistema de inventario que necesita, y la IA lo crea. Un dentista describe un portal para pacientes, y la IA se lo proporciona. Millones de personas que nunca pensaron en sí mismas como desarrolladores de software —propietarios de pequeñas empresas, médicos, directores de organizaciones sin fines de lucro— están creando software por primera vez sin ninguna formación. Pero estas aplicaciones se escriben a menudo sin una revisión de seguridad. Los posibles fallos, cada vez más fáciles de encontrar a medida que mejora la IA, podrían permitir que alguien acceda a los datos de los clientes, se apodere de las cuentas o cierre toda la aplicación.
Durante décadas, dos tipos de escasez mantuvieron internet a salvo, o lo suficientemente a salvo. Escribir software era difícil, por lo que quienes lo hacían eran personas cualificadas, meticulosas y escasas. Encontrar errores también era difícil, por lo que los peores fallos permanecían ocultos, a veces durante décadas. No era un gran sistema. Pero la dificultad de ambas partes creó una especie de distensión que se mantuvo.
Ahora, gracias a las nuevas herramientas de IA, cualquiera puede escribir código. Pronto, agentes maliciosos podrían utilizar esas mismas herramientas para descubrir fallas en él. La distensión ha terminado.
La mayor parte de internet se construyó con software de código abierto. Por ejemplo, gran parte de los videos que ves en línea se transmite discretamente a través de FFmpeg, un programa gratuito de código abierto mantenido por voluntarios cuyo presupuesto combinado es modesto para cualquier estándar corporativo. OpenBSD, un sistema operativo que ejecuta los cortafuegos y las puertas de enlace que protegen las redes sensibles de los ataques externos, y que Anthropic califica de “uno de los sistemas operativos más reforzados en seguridad del mundo”, funciona con donaciones. A diferencia del software propietario desarrollado por las grandes empresas del Proyecto Glasswing, estos proyectos existen porque alguien decidió que el trabajo importaba más que el sueldo. Los construyen personas que han dedicado años de su vida al código que alimenta productos que la mayoría de nosotros utilizamos cada día sin saberlo.
Según Anthropic, Mythos encontró una vulnerabilidad de 27 años en OpenBSD y otra de 16 años en FFmpeg, enterradas en una línea de código que, según Anthropic, otras herramientas de seguridad automatizadas habían pasado por alto cinco millones de veces. (Ambas organizaciones afirman que han solucionado los problemas detectados). Ni siquiera Firefox, el navegador web que construye mi propia organización, se salvó: cuando Anthropic ejecutó su modelo anterior contra Firefox, fue capaz de convertir un fallo ya descubierto en arma solo dos veces de varios cientos de intentos. Cuando Anthropic ejecutó Mythos, lo consiguió casi siempre. En todos estos proyectos y en muchos más, el modelo identificó miles de vulnerabilidades en el código. Estos son los tipos de problemas que pueden permitir al ransomware cerrar hospitales. Son la forma en que los ciberataques pueden interrumpir infraestructuras críticas. Y son la manera en que los servicios de inteligencia extranjeros pueden comprometer las redes gubernamentales.
Más allá de detectar problemas en las líneas de código, Mythos encontró las costuras del contrato social informal que mantiene unido internet. Hace tiempo que el entendido es que los desarrolladores comparten su trabajo abiertamente, se ayudan unos a otros a arreglar lo que no funciona y mantienen el software del que todos dependemos, no por una remuneración, sino porque así es como ha funcionado la comunidad. El programador veterano que lleva 20 años poniendo parches en código crítico en su tiempo libre está en la misma situación que la propietaria de una tienda que codificó su primera aplicación el martes pasado. Ambos están expuestos. Ninguno tiene un equipo de seguridad. Ninguno tiene acceso actualmente a Mythos.
Hay que reconocer que Anthropic se encuentra entre las primeras grandes empresas de IA que han decidido que lo responsable era frenar. La empresa dice que va a destinar 4 millones de dólares a organizaciones de seguridad de código abierto. Es más de lo que ha hecho cualquier otra empresa del sector.
Y, sin embargo, la economía subyacente no ha cambiado: la infraestructura de software más valiosa del mundo sigue siendo mantenida por personas que trabajan gratis, mientras que las empresas que construyen fortunas con ella como base nunca han tenido que pagar por su mantenimiento. Ahora ha llegado una nueva y poderosa capacidad, y como hemos visto una y otra vez en tecnología, existe el riesgo de que las organizaciones con recursos la reciban primero y aprendan a protegerse, mientras que otras quedan vulnerables.
¿El programador que dedicó 20 años de su vida a mantener un código que se ejecuta en productos utilizados por miles de millones de personas? Aún no tiene acceso a Mythos. Debería tenerlo. Las organizaciones que gestionan la infraestructura de código abierto saben quiénes son estos mantenedores y cómo llegar a ellos, y están dispuestas a ayudar. Es una lista corta y un problema solucionable. La propietaria de la tienda es un caso diferente. No debería necesitar Mythos o una herramienta igual de potente para defenderse de un ciberataque, solo la confianza de que las herramientas que utilizó se crearon para protegerla desde el principio.
Así que cambiemos lo que viene por defecto. Toda empresa que incluya código abierto en sus productos —que es la mayor parte de la industria tecnológica— debe invertir en los trabajadores esenciales que lo mantienen. Eso significa financiación, pero también significa que las empresas de IA aporten tiempo de ingeniería, experiencia en seguridad y personal a los proyectos de los que todos dependemos. Las empresas de IA que están construyendo herramientas como Mythos, más allá de Anthropic, deberían ponerlas en manos de estos trabajadores. Y todos los que nos beneficiamos de la infraestructura de código abierto debemos tratarla como lo que siempre ha sido: tan crítica como cualquier carretera, puente o línea eléctrica.
Y para los millones de nuevos creadores que escriben software por primera vez, tenemos que facilitarles la construcción segura. Integrar la seguridad en las herramientas que ya utilizan. Asegurarnos de que la IA que escribe el código también lo protege. No como un complemento ni como una función premium, sino por defecto. Se acabó la distensión. Los fallos son visibles. Los creadores están por todas partes. La única cuestión es si los protegemos a todos, o solo a quien puede costear protegerse a sí mismo."
Incluso antes del anuncio, los modelos de IA disponibles para el público ya encontraban vulnerabilidades de seguridad en software de uso común. Los investigadores de Anthropic reconocieron que a otros laboratorios les faltan entre 6 y 18 meses para construir algo comparable. Estas capacidades, y las amenazas que suponen para la ciberseguridad, proliferarán. Desde las plataformas de emisión en continuo hasta los servicios bancarios en línea, pasando por los motores de búsqueda que responden a preguntas cotidianas, amplias franjas de internet podrían quedar inutilizables.
Si no respondemos con cuidado y decisión, los millones de personas que más pueden beneficiarse del progreso de la IA como herramienta de programación serán también los más expuestos a los ataques. Dejarlos a su suerte podría erosionar internet tal y como lo conocemos.
Puede que ya estés familiarizado con el concepto de vibe coding: utilizar herramientas de IA para convertir descripciones con lenguaje llano en software funcional. El propietario de una tienda describe el sistema de inventario que necesita, y la IA lo crea. Un dentista describe un portal para pacientes, y la IA se lo proporciona. Millones de personas que nunca pensaron en sí mismas como desarrolladores de software —propietarios de pequeñas empresas, médicos, directores de organizaciones sin fines de lucro— están creando software por primera vez sin ninguna formación. Pero estas aplicaciones se escriben a menudo sin una revisión de seguridad. Los posibles fallos, cada vez más fáciles de encontrar a medida que mejora la IA, podrían permitir que alguien acceda a los datos de los clientes, se apodere de las cuentas o cierre toda la aplicación.
Durante décadas, dos tipos de escasez mantuvieron internet a salvo, o lo suficientemente a salvo. Escribir software era difícil, por lo que quienes lo hacían eran personas cualificadas, meticulosas y escasas. Encontrar errores también era difícil, por lo que los peores fallos permanecían ocultos, a veces durante décadas. No era un gran sistema. Pero la dificultad de ambas partes creó una especie de distensión que se mantuvo.
Ahora, gracias a las nuevas herramientas de IA, cualquiera puede escribir código. Pronto, agentes maliciosos podrían utilizar esas mismas herramientas para descubrir fallas en él. La distensión ha terminado.
La mayor parte de internet se construyó con software de código abierto. Por ejemplo, gran parte de los videos que ves en línea se transmite discretamente a través de FFmpeg, un programa gratuito de código abierto mantenido por voluntarios cuyo presupuesto combinado es modesto para cualquier estándar corporativo. OpenBSD, un sistema operativo que ejecuta los cortafuegos y las puertas de enlace que protegen las redes sensibles de los ataques externos, y que Anthropic califica de “uno de los sistemas operativos más reforzados en seguridad del mundo”, funciona con donaciones. A diferencia del software propietario desarrollado por las grandes empresas del Proyecto Glasswing, estos proyectos existen porque alguien decidió que el trabajo importaba más que el sueldo. Los construyen personas que han dedicado años de su vida al código que alimenta productos que la mayoría de nosotros utilizamos cada día sin saberlo.
Según Anthropic, Mythos encontró una vulnerabilidad de 27 años en OpenBSD y otra de 16 años en FFmpeg, enterradas en una línea de código que, según Anthropic, otras herramientas de seguridad automatizadas habían pasado por alto cinco millones de veces. (Ambas organizaciones afirman que han solucionado los problemas detectados). Ni siquiera Firefox, el navegador web que construye mi propia organización, se salvó: cuando Anthropic ejecutó su modelo anterior contra Firefox, fue capaz de convertir un fallo ya descubierto en arma solo dos veces de varios cientos de intentos. Cuando Anthropic ejecutó Mythos, lo consiguió casi siempre. En todos estos proyectos y en muchos más, el modelo identificó miles de vulnerabilidades en el código. Estos son los tipos de problemas que pueden permitir al ransomware cerrar hospitales. Son la forma en que los ciberataques pueden interrumpir infraestructuras críticas. Y son la manera en que los servicios de inteligencia extranjeros pueden comprometer las redes gubernamentales.
Más allá de detectar problemas en las líneas de código, Mythos encontró las costuras del contrato social informal que mantiene unido internet. Hace tiempo que el entendido es que los desarrolladores comparten su trabajo abiertamente, se ayudan unos a otros a arreglar lo que no funciona y mantienen el software del que todos dependemos, no por una remuneración, sino porque así es como ha funcionado la comunidad. El programador veterano que lleva 20 años poniendo parches en código crítico en su tiempo libre está en la misma situación que la propietaria de una tienda que codificó su primera aplicación el martes pasado. Ambos están expuestos. Ninguno tiene un equipo de seguridad. Ninguno tiene acceso actualmente a Mythos.
Hay que reconocer que Anthropic se encuentra entre las primeras grandes empresas de IA que han decidido que lo responsable era frenar. La empresa dice que va a destinar 4 millones de dólares a organizaciones de seguridad de código abierto. Es más de lo que ha hecho cualquier otra empresa del sector.
Y, sin embargo, la economía subyacente no ha cambiado: la infraestructura de software más valiosa del mundo sigue siendo mantenida por personas que trabajan gratis, mientras que las empresas que construyen fortunas con ella como base nunca han tenido que pagar por su mantenimiento. Ahora ha llegado una nueva y poderosa capacidad, y como hemos visto una y otra vez en tecnología, existe el riesgo de que las organizaciones con recursos la reciban primero y aprendan a protegerse, mientras que otras quedan vulnerables.
¿El programador que dedicó 20 años de su vida a mantener un código que se ejecuta en productos utilizados por miles de millones de personas? Aún no tiene acceso a Mythos. Debería tenerlo. Las organizaciones que gestionan la infraestructura de código abierto saben quiénes son estos mantenedores y cómo llegar a ellos, y están dispuestas a ayudar. Es una lista corta y un problema solucionable. La propietaria de la tienda es un caso diferente. No debería necesitar Mythos o una herramienta igual de potente para defenderse de un ciberataque, solo la confianza de que las herramientas que utilizó se crearon para protegerla desde el principio.
Así que cambiemos lo que viene por defecto. Toda empresa que incluya código abierto en sus productos —que es la mayor parte de la industria tecnológica— debe invertir en los trabajadores esenciales que lo mantienen. Eso significa financiación, pero también significa que las empresas de IA aporten tiempo de ingeniería, experiencia en seguridad y personal a los proyectos de los que todos dependemos. Las empresas de IA que están construyendo herramientas como Mythos, más allá de Anthropic, deberían ponerlas en manos de estos trabajadores. Y todos los que nos beneficiamos de la infraestructura de código abierto debemos tratarla como lo que siempre ha sido: tan crítica como cualquier carretera, puente o línea eléctrica.
Y para los millones de nuevos creadores que escriben software por primera vez, tenemos que facilitarles la construcción segura. Integrar la seguridad en las herramientas que ya utilizan. Asegurarnos de que la IA que escribe el código también lo protege. No como un complemento ni como una función premium, sino por defecto. Se acabó la distensión. Los fallos son visibles. Los creadores están por todas partes. La única cuestión es si los protegemos a todos, o solo a quien puede costear protegerse a sí mismo."
