Expertos en ciberseguridad alertan sobre Claude Mythos, un modelo de IA de Anthropic que habría detectado miles de vulnerabilidades críticas en sistemas operativos globales, generando riesgos de extorsión y amenazas sin precedentes.

• Recientemente, expertos en ciberseguridad han puesto al descubierto la verdadera naturaleza de Claude Mythos, calificándola como "la extorsión de la IA". Según revelaciones, Anthropic, la empresa detrás de este modelo, informó que su nueva inteligencia artificial había identificado miles de vulnerabilidades en los principales sistemas operativos a nivel global. Estas fallas, consideradas demasiado peligrosas, podrían comprometer la seguridad de millones de usuarios si caen en manos equivocadas.
• La situación ha generado alarma en la comunidad tecnológica, ya que el descubrimiento plantea serios interrogantes sobre cómo manejar información tan sensible. Los especialistas advierten que, sin los controles adecuados, estas vulnerabilidades podrían ser explotadas para ataques masivos, afectando desde dispositivos personales hasta infraestructuras críticas.
• Este caso reaviva el debate sobre los límites éticos de la IA y la responsabilidad de las empresas en la protección de datos. Mientras algunos ven en Claude Mythos un avance revolucionario, otros lo perciben como una amenaza latente que requiere regulación urgente.

Anthropic ha desarrollado un sistema de inteligencia artificial especializado en ciberseguridad ofensiva que puede identificar fallos críticos en software antes de que nadie los haya descubierto.

La compañía lo considera demasiado avanzado para el acceso general y por ello ha decidido que solo un grupo cerrado de grandes empresas globales puede utilizarlo.

Y es que el discurso sobre los riesgos de la IA ha cambiado de escala en poco tiempo, donde lo que antes se limitaba a debates técnicos hoy ocupa informes, titulares y decisiones regulatorias.

En ese entorno, cada nuevo caso que apunta a posibles fallos o comportamientos peligrosos de esta tecnología gana visibilidad de forma inmediata y, en las últimas semanas, Claude Mythos se ha convertido en uno de esos ejemplos.

Se ha utilizado como referencia para ilustrar hasta dónde podrían llegar los problemas de los modelos avanzados. Sin embargo, expertos en ciberseguridad están señalando un patrón que va más allá de lo tecnológico.

¿Qué es Claude Mythos y cuáles son sus capacidades?

Anthropic presentó Claude Mythos con un perfil de capacidades que, si se confirman en condiciones reales, representan un salto cualitativo en lo que la inteligencia artificial puede hacer en el terreno de la seguridad informática.

El modelo está diseñado para analizar código a gran escala y detectar vulnerabilidades de día cero, como fallos de seguridad que aún no han sido descubiertos ni por el fabricante del software afectado ni por la comunidad de investigadores, y para los que no existe ningún parche disponible.

Es importante mencionar que, según Anthropic, el modelo de IA avanzado llamado Mythos ha identificado miles de estas vulnerabilidades en sistemas operativos y navegadores de uso masivo.

Conviene saber que una sola vulnerabilidad de día cero en un sistema puede valer millones de dólares en el mercado de exploits, y que su explotación permite acceder a sistemas sin que el objetivo tenga forma de defenderse.

Lo que hace a Claude Mythos diferente de las herramientas de análisis de seguridad anteriores no es solo la velocidad, sino la capacidad de razonamiento sobre el código.

El modelo no busca patrones conocidos, sino que infiere dónde podría haber un fallo que nadie ha formulado todavía. Es la diferencia entre buscar una aguja en un pajar y entender cómo se forma la aguja antes de que exista.

¿Por qué solo unas pocas empresas pueden usarlo?

Desde el momento del anuncio, Anthropic dejó claro que Mythos no estaría disponible para el público general. El argumento fue que un modelo con esa capacidad para identificar y potencialmente explotar fallos en infraestructura crítica no puede distribuirse sin control.

En manos equivocadas, afirmó la compañía, podría convertirse en la herramienta de ataque más sofisticada jamás accesible. La solución que diseñó la compañía fue Project Glasswing, un consorcio cerrado de acceso restringido.

Sus miembros son Amazon Web Services, Google, Microsoft, JPMorgan Chase, Nvidia, Cisco y CrowdStrike. Las empresas que operan los centros de datos globales, las principales plataformas en la nube, la infraestructura financiera digital y los mayores sistemas de ciberseguridad.

Fuera de ese círculo quedan los investigadores independientes, las universidades, las administraciones públicas y los equipos de seguridad de cualquier organización que no forme parte del consorcio.

La decisión tiene una lógica, y es que si Claude Mythos va a usarse para proteger infraestructura crítica, que lo gestionen quienes operan esa infraestructura.

Lo que está claro es que esa restricción se presenta como medida de seguridad, pero al mismo tiempo crea dependencia, porque solo quienes controlan la tecnología pueden ofrecer las soluciones más eficaces. En ese contexto, la seguridad deja de ser solo protección y pasa a ser también un negocio redondo.

Pero también genera una pregunta: si el modelo puede detectar miles de vulnerabilidades en sistemas que millones de personas y organizaciones utilizan a diario, ¿quién se encarga de que esas vulnerabilidades se corrijan, y a qué velocidad?

Lo que implica para la ciberseguridad

El impacto real de Mythos sobre la ciberseguridad global depende de una variable que Anthropic no ha respondido con claridad: ¿qué ocurre con las vulnerabilidades que el modelo encuentra?

Si se comunican de forma responsable a los fabricantes de software afectados para que las corrijan antes de que nadie las explote, el modelo funciona como una herramienta de protección masiva.

Pero si el acceso a esa información queda dentro del consorcio sin un protocolo público de divulgación, un grupo reducido conocerá los fallos críticos en software que el resto del mundo usa sin saberlo.

El AI Security Institute del Reino Unido, que evaluó el modelo antes de su presentación pública, reconoció avances reales sobre sistemas anteriores, pero introdujo una matización importante: las pruebas se realizaron en entornos controlados, sin herramientas de protección operando en paralelo.

Los sistemas del mundo real son considerablemente más complejos, pero eso no invalida las capacidades de Mythos, pero sí pone en perspectiva la distancia entre lo que el modelo demostró en condiciones ideales y lo que podría hacer frente a infraestructura real con equipos de seguridad activos al otro lado.

Ya que si detectar vulnerabilidades de día cero deja de requerir años de expertise humano especializado y pasa a ser una tarea que una IA puede automatizar a gran velocidad, la superficie de ataque potencial de cualquier sistema conectado crece de forma exponencial.

La pregunta sobre Claude Mythos plantea es quién tiene acceso a esa capacidad, con qué garantías y bajo qué supervisión. Anthropic ha dado su respuesta, pero el debate sobre si es la correcta acaba de empezar.