Anthropic ha presentado Claude Mythos Preview, un modelo de lenguaje avanzado con capacidades extraordinarias para descubrir y explotar de forma autónoma vulnerabilidades zero-day no detectadas. Para garantizar que estas herramientas tan potentes se utilicen con fines defensivos, la compañía ha lanzado Project Glasswing, una iniciativa para colaborar con socios del sector y parchear sistemas de software críticos. Claude Mythos Preview supone una mejora significativa respecto a modelos anteriores. 

Anthropic ha presentado Claude Mythos Preview, un modelo de lenguaje avanzado con capacidades extraordinarias para descubrir y explotar de forma autónoma vulnerabilidades zero-day no detectadas.

Para garantizar que estas herramientas tan potentes se utilicen con fines defensivos, la compañía ha lanzado Project Glasswing para colaborar con socios del sector y parchear sistemas de software críticos.

Claude Mythos Preview representa una mejora masiva respecto a modelos anteriores como Opus 4.6, que podían encontrar fallos pero tenían dificultades para convertirlos en exploits funcionales.

Durante pruebas internas con software de código abierto, el nuevo modelo logró controlar por completo el flujo de ejecución en 10 objetivos completamente parcheados.

Estas avanzadas habilidades ofensivas no fueron programadas explícitamente; más bien, surgieron de forma natural gracias a las mejoras en el razonamiento lógico y la codificación autónoma del modelo.

Generación autónoma de exploits

El modelo puede encadenar de forma autónoma múltiples fallos de software para crear ataques altamente complejos que eluden las barreras de seguridad modernas.

Por ejemplo, escribió exploits para navegadores web que evadieron sandboxes estrictos y bypassaron la aleatorización del espacio de direcciones del kernel (KASLR) para obtener privilegios elevados.

Al ser una herramienta altamente automatizada, incluso usuarios sin formación en ciberseguridad han logrado generar exploits funcionales de ejecución remota de código en una sola noche.

Cuando se probó en software del mundo real, el agente de IA descubrió vulnerabilidades zero-day críticas que habían permanecido ocultas para los investigadores humanos durante décadas.

Identificó con éxito un fallo de corrupción de memoria de 27 años en OpenBSD, un sistema operativo ampliamente reconocido por sus rigurosos estándares de seguridad.

Además, encontró un fallo de 16 años en la altamente auditada biblioteca multimedia FFmpeg, analizando cómo el software decodifica ciertos fotogramas de vídeo.

La vulnerabilidad en OpenBSD fue causada por un desbordamiento de entero con signo en el protocolo de control de transmisión de red, que la IA utilizó para provocar un fallo del sistema.

El error en FFmpeg se produjo por una incompatibilidad en los tamaños de enteros y la inicialización de memoria, permitiendo a un atacante forzar al programa a escribir datos fuera de los límites.

Para descubrir estos fallos, la IA opera en un entorno de pruebas aislado donde lee código fuente, prueba hipótesis y escribe pruebas de concepto de exploits de forma completamente autónoma.

Anthropic reconoce que liberar una herramienta tan potente para descubrir vulnerabilidades podría dar temporalmente una ventaja peligrosa a hackers malintencionados.

Para evitarlo, Project Glasswing limita el acceso inicial a defensores de confianza que puedan usar el modelo para corregir fallos profundos antes de que sean explotados activamente.

En última instancia, los expertos en seguridad creen que, a medida que el sector se adapte, estos modelos avanzados de IA se convertirán en herramientas defensivas esenciales, haciendo que el ecosistema global de software sea significativamente más seguro.