Anthropic ha lanzado Claude Mythos Preview, un modelo de IA que ha detectado más de 10.000 vulnerabilidades críticas en solo un mes como parte del Proyecto Glasswing.

Anthropic destaca el éxito de Claude Mythos en ciberseguridad

• A través de la actualización del Proyecto Glasswing, Anthropic ha revelado que su nuevo modelo de IA, Claude Mythos Preview, ha logrado un hito impresionante. En tan solo un mes, esta herramienta (aún no abierta al público) ha permitido detectar más de 10.000 vulnerabilidades críticas y de alta prioridad, trabajando en conjunto con aproximadamente 50 socios estratégicos para reforzar la defensa digital.

Anthropic publicó la primera gran actualización de Proyecto Glasswing, su iniciativa para usar modelos avanzados de IA en defensa de la ciberseguridad. El dato más llamativo es que Claude Mythos Preview, un modelo todavía no disponible públicamente, habría ayudado a Anthropic y a unos 50 socios a encontrar más de 10.000 vulnerabilidades de alta o crítica gravedad en software considerado estratégico para Internet, empresas e infraestructuras esenciales. La compañía resume el cambio de forma bastante clara. El problema ya no es tanto encontrar fallos, sino en verificarlos, comunicarlos y parchearlos a la velocidad a la que la IA comienza a descubrirlos.

Project Glasswing fue presentado en abril como una alianza con compañías como AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks, además de decenas de organizaciones adicionales que mantienen software crítico. Anthropic afirma que Mythos Preview es capaz de detectar vulnerabilidades y, en algunos casos, razonar sobre cadenas de explotación con un nivel que supera a la mayoría de herramientas tradicionales. La propia compañía ya había indicado que el modelo encontró fallos en grandes sistemas operativos, navegadores webs y proyectos ampliamente usados, incluyendo ejemplos como OpenBSD, FFmpeg y el kernel de Linux, todos ellos ya parcheados en los casos citados públicamente.

Mozilla Firefox es un ejemplo reciente de cómo la IA ya tiene un papel protagonista en la ciberseguridad

El pasado mes de abril, Mozilla indicó que gracias a Claude Myuthos parchearon 271 vulnerabilidades de Firefox. Lo más importante de todo, es que la tasa de error fue prácticamente del 0%. Que Claude Mythos Preview no sea público es evidente. Y es que cualquier persona podría usar la IA para detectar brechas de seguridad generando el caos. Y sí, la mayor preocupación está en el mercado financiero.

Cloudflare también ha dado contexto técnico interesante. Recordando que es el CDN más importante del mundo, el cual gestiona el tráfico del 80% de todas las webs del mundo. La compañía probó Mythos Preview contra más de 50 repositorios propios y lo describió como un salto real frente a modelos generalistas anteriores. Según Cloudflare, la mejora no está solo en encontrar bugs, sino en construir cadenas de explotación, generar pruebas de concepto y reducir el ruido respecto a análisis más especulativos. Aun así, la compañía advierte que apuntar un agente genérico a un repositorio y pedirle “encuentra vulnerabilidades” no basta. La compañía demanda un sistema de orquestación, tareas estrechas, agentes que se contradigan entre sí, validación independiente y deduplicación de hallazgos.

Anthropic insiste en que modelos como Mythos pueden dar una ventaja defensiva enorme. Permiten revisar código crítico a una escala nunca antes vista. Pero esa misma capacidad también puede ser peligrosa si cae en manos de atacantes, porque reduce el coste de encontrar vulnerabilidades explotables. Por eso Anthropic no ha liberado Mythos Preview al público y sostiene que todavía no existen protecciones suficientemente fuertes para impedir un uso malicioso de modelos de esta clase. La empresa sí planea lanzar modelos “tipo Mythos” en el futuro, pero solo cuando tenga mejores barreras de seguridad.

Ahora el nuevo cuello de botella con Claude Mythos es parchear las vulnerabilidades

Así es. El problema ahora pasa por que la IA encuentra tantas vulnerabilidades, y tan rápido, que el cuello de botella pasa a ser humano. Anthropic afirma que, en su escaneo de más de 1.000 proyectos de código abierto, Claude Mythos estimó 6.202 vulnerabilidades de alta o crítica gravedad dentro de un total de 23.019 hallazgos. Tras revisar una parte con firmas de seguridad independientes, el 90,6% de los 1.752 casos evaluados resultaron ser verdaderos positivos, y el 62,4% fueron confirmados como alta o crítica gravedad.

Ahora bien, poco importa encontrar miles de vulnerabilidades o fallos, si los mantenedores no tienen tiempo para reproducirlos, entenderlos, corregirlos y lanzar los parches. Anthropic reconoce que algunos mantenedores incluso han pedido ralentizar el ritmo de divulgaciones de ciberseguridad porque no pueden absorber tantos informes. De esta forma, al menos hay una buena noticia, y es que la IA no elimina el trabajo de seguridad, sino que lo desplaza. Ahora bien, se desconoce por cuanto tiempo esto será así. Ya que si el cuello de botella ahora pasa a ser humano, es un nuevo terreno donde querrán que la IA agilice aplicar todas las medidas de protección.