Mozilla parcheó 271 vulnerabilidades críticas en Firefox detectadas por la IA Claude Mythos de Anthropic, destacando su peligroso potencial en ciberseguridad y explicando por qué su liberación fue retrasada.

Ya sabemos por qué Anthrophic no ha podido liberar su último modelo de IA Claude Mythos, y es que Mozilla ha dejado claro por qué esta IA es un peligro. Para entrar en un contexto, el modelo de Anthropic orientado a la ciberseguridad se hizo rápidamente famoso por ser capaz de encontrar vulnerabilidades en prácticamente cualquier software. Y es que hay que recordar que este modelo de IA ha encontrado vulnerabilidades Zero Day en prácticamente cualquier sistema operativo y software, como en este caso concreto, navegadores web.

Debido al riesgo que implica lanzar una IA así al mercado, el propio gobierno de Estados Unidos lanzó una alerta a Wall Street. E incluso esta semana hemos visto como los reguladores habían comenzado a supervisar este modelo de IA. Además de contactar con toda la industria bancaria, ya que esta IA sería capaz de vaciar muchas cuentas bancarias de forma prácticamente sencilla. Por lo que ahora hay una carrera en toda la industria del software de parchear todas las vulnerabilidades que se han encontrado.

Claude Mythos ha forzado que Mozilla lanzara una actualización de Firefox que parchee 271 vulnerabilidades

Así es, ahí podemos ver lo peligroso es es lanzar el modelo Claude Mythos para el público, pues se utilizaría, generalmente, para generar el caos. Hay que pensar que el modelo de IA en Anthropic, sólo en el navegador Mozilla Firefox, ha encontrado nada menos que 271 vulnerabilidades. Esto es una absoluta locura, y podríamos pensar que ha sucedido lo mismo con prácticamente cualquier otro software.

Para tener un contexto, en marzo, la colaboración anterior recurriendo al modelo Claude Opus 4.6 ya había permitido encontrar 22 fallos sensibles de seguridad en Firefox 148, incluidos 14 de alta severidad, además de otros 90 bugs no clasificados como esos 22 CVE principales. Y sí, un mes más tarde después de que Opus 4.6 encontrara 22 vulnerabilidades, Mythos ha sumido a la lista 271 vulnerabilidades adicionales. Esto deja bastante patente cómo está evolucionando la IA, y por qué gobiernos como el de Estados Unidos quiere recurrir a los modelos más avanzados del mundo. Es por ello que han pasado de querer vetar el uso de Anthropic, a adoptar Mythos cuanto antes.

Mozilla explica que hasta hace muy poco la detección de este tipo de fallos dependía de investigadores de élite y de técnicas como el fuzzing. Además de destacar que siguen siendo útiles pero a su vez también indican que dejan zonas con cobertura desigual. Su tesis ahora es que modelos como Mythos ya son capaces de razonar sobre bases de código endurecidas y encontrar fallos que antes exigían mucho tiempo humano. Por eso Bobby Holley, Director de Tecnología de Mozilla dijo que el descubrimiento de Mythos le ha dado “vértigo”. Y es que claro, indicó que contra un objetivo tan auditado como Firefox, haber encontrado tantos problemas de golpe cambia por completo la economía del trabajo defensivo.

Anthropic alerta de que Mythos Preview puede convertir estos hallazgos en exploits funcionales

Anthropic dijo que Mythos Preview no era capaz de identificar vulnerabilidades zero-day en grandes sistemas operativos y navegadores, sino que también puede convertir sus hallazgos en exploits funcionales con bastante más eficacia que Opus 4.6. Para ello, se citó benchmark ligado a las vulnerabilidades del navegador web Firefox. Opus 4.6 solo logró explotar con éxito dos veces unas vulnerabilidades ya encontradas, mientras que Mythos logró 181 exploits funcionales y obtuvo control de registros en 29 casos más. Esa es precisamente la razón por la que Anthropic no ha liberado este modelo de IA forma general y lo limita a un grupo reducido de socios críticos y desarrolladores open source dentro de Project Glasswing.

El motivo de este movimiento, es que compañías como Mozilla, usen la IA para encontrar vulnerabilidades y blindarse. Una vez que todas estas compañías se hayan blindado y lanzado las actualizaciones para blindar a sus usuarios, será cuando Anthropic obtenga luz verde para lanzar su modelo de IA de forma pública.

Mozilla no presenta esto como una victoria definitiva de los atacantes, sino como una fase de transición muy dura. Por otro lado, las grandes compañías tendrán que reorganizar sus equipos y presupuestos para absorber esta carga de trabajo de parchear todas las vulnerabilidades que se encuentren. Al lado contrario, los proyectos más pequeños y el open source más precario corren el riesgo de quedarse atrás. Mozilla enlaza este problema con una crítica más amplia: gran parte de la infraestructura digital sigue mantenida por muy poca gente, muchas veces gratis, mientras otros construyen un negocio encima.