Anthropic planea lanzar públicamente su IA Mythos, capaz de hallar vulnerabilidades críticas de seguridad, una vez que desarrolle salvaguardas suficientes para evitar su mal uso. Actualmente, el modelo se limita a entidades seleccionadas mediante el Proyecto Glasswing, habiendo detectado miles de fallos en proyectos de código abierto. Esta capacidad ha generado alertas globales, ya que el volumen de errores encontrados puede saturar la capacidad de respuesta de los desarrolladores.




Anthropic ha revelado su intención de lanzar algún día al público modelos que igualen el rendimiento de su IA de búsqueda de errores Mythos, una vez que pueda hacerlos seguros.

En caso de que haya llegado tarde, a principios de abril Anthropic anunció que había desarrollado un modelo llamado Mythos que es tan bueno encontrando vulnerabilidades de seguridad en el código de programación que la empresa decidió ofrecerlo solo a entidades seleccionadas, ya que permitir el acceso sin restricciones significaría que los ciberdelincuentes podrían descubrir y explotar fallos de software rápidamente.

Ese programa de acceso se llama “Project Glasswing” y los participantes informan que encuentra rápidamente muchos errores, pero pocos que los humanos no pudieran encontrar disponiendo de tiempo y recursos suficientes. Quienes tienen acceso a Mythos también han dicho a veces que la cantidad de errores que encuentra sobrepasa Somewhat su capacidad para parchearlos todos.

La mera existencia de Mythos ha provocado un pequeño pánico: el gobierno de Japón ordenó una revisión de seguridad exhaustiva y las autoridades indias exigieron una campaña de parcheo en las instituciones financieras, además de una comprensión general de que incluso los modelos de IA menores también son buenos buscadores de errores, lo que significa que los ciberdefensores ahora deben esperar que los atacantes utilicen más fallos como armas, y con más frecuencia.

Ninguna empresa, incluida Anthropic, ha desarrollado salvaguardas lo suficientemente fuertes como para evitar que tales modelos sean utilizados incorrectamente

Anthropic publicó la semana pasada una “actualización inicial” aquí sobre el Proyecto Glasswing que, en su penúltimo párrafo, revela que el siguiente paso de la empresa será "... trabajar con socios críticos, incluidos los gobiernos de EE. UU. y sus aliados, para ampliar el Proyecto Glasswing a socios adicionales. Y en un futuro cercano, una vez que hayamos desarrollado las salvaguardas mucho más fuertes que necesitamos, esperamos poner a disposición los modelos de clase Mythos a través de un lanzamiento general”.

La empresa no explicó qué entiende por “futuro cercano” y admite que “En la actualidad, ninguna empresa, incluida Anthropic, ha desarrollado salvaguardas lo suficientemente fuertes como para evitar que tales modelos sean utilizados incorrectamente y puedan causar daños graves”.

Una ilustración más de esa afirmación se encuentra anteriormente en la publicación de la empresa, que revela que Anthropic ha utilizado Mythos para escanear más de 1.000 proyectos de código abierto que, según dice, “sustentan colectivamente gran parte de internet y gran parte de nuestra propia infraestructura”.

Hasta la fecha, Mythos ha encontrado una cifra estimada de 6.202 vulnerabilidades de gravedad alta o crítica en estos proyectos, y 23.019 fallos en total.

La publicación revela que cuando Mythos encuentra un fallo, Anthropic y sus colegas de la comunidad de seguridad reproducen el problema que Mythos ha encontrado y “revalúan su gravedad”.

“Una vez que confirmamos que una vulnerabilidad es real, comprobamos si ya existen correcciones y escribimos un informe detallado para los mantenedores del software”, explica Anthropic. “Teniendo mucho cuidado aquí: además de los retos habituales del mantenimiento del software de código abierto, los mantenedores se han enfrentado a un aluvión de informes de errores generados por IA de baja calidad. De hecho, varios mantenedores nos han dicho que actualmente tienen una capacidad muy limitada y algunos incluso nos han pedido que reduzcamos el ritmo de nuestras divulgaciones porque necesitan más tiempo para diseñar los parches”.

1.752 de las vulnerabilidades calificadas como altas o críticas que Mythos encontró en FOSS han pasado por ese proceso y el 90,6 por ciento (1.587) resultaron ser fallos válidos. De esos, el 62,4 por ciento (1.094) “fueron confirmados como de gravedad alta o crítica”, afirma la publicación.

Uno de los fallos críticos afectó a la biblioteca de criptografía wolfSSL utilizada por miles de millones de dispositivos en todo el mundo.

“Mythos Preview construyó un exploit aquí que permitiría a un atacante falsificar certificados que permitirían (por ejemplo) alojar un sitio web falso de un banco o proveedor de correo electrónico”, escribió Anthropic. “El sitio web parecería perfectamente legítimo para el usuario final, a pesar de estar controlado por el atacante”. Afortunadamente, los desarrolladores ya han parcheado wolfSSL, y Anthropic dijo que entregará un análisis técnico completo “en las próximas semanas”.

Esté atento al CVE-2026-5194 para obtener más información sobre este caso.

Mythos está saturando un ecosistema de seguridad ya sobrecargado

“75 de los 530 errores de gravedad alta o crítica que hemos reportado ya han sido parcheados, y 65 de ellos han recibido avisos públicos”, afirma la publicación, y luego explica que esa baja tasa de corrección se debe a que Anthropic “se encuentra aún al principio de la ventana de 90 días establecida en nuestra política de Divulgación Coordinada de Vulnerabilidades: esperamos que lleguen muchos más parches pronto”. La empresa cree que también es “probable que estén subestimando los parches porque algunas vulnerabilidades se parchean sin un aviso público”. Por último, el flujo de errores que encontró Mythos “está sumándose a un ecosistema de seguridad ya sobrecargado”.

La sugerencia de Anthropic para los equipos de seguridad que luchan por desarrollar correcciones para los errores descubiertos por la IA es, sorprendentemente, más IA, como las habilidades aquí que mejoran la capacidad de su modelo Claude para ayudar a los desarrolladores.

Fuente:
TheRegister