Hace apenas unas semanas ya hablamos de las 271 vulnerabilidades que Firefox había parcheado con ayuda de Claude Mythos Preview. Aquello ya sonaba fuerte, realmente es una locura porque no hablamos de un navegador cualquiera ni de un proyecto sin auditorías encima, o nuevo, que habría excusa en tal caso. Hablamos de Firefox, un software revisado durante años por equipos internos, investigadores externos y sistemas de fuzzing. Bien, pues ahora Mozilla ha contado la parte que faltaba: el problema no fue solo la cantidad, sino la precisión con la que la IA llegó a esas vulnerabilidades, y asusta, Claude Mythos mete miedo, y con razón.

Hasta hace nada, Mozilla reconoce que muchos reportes de seguridad generados por IA eran puro ruido. Parecían creíbles, venían bien escritos y señalaban zonas delicadas del código, pero luego podían ser falsos positivos que hacían perder tiempo a los mantenedores.

Mozilla confirma que Claude Mythos es tanto esperanza como miedo, según se vaya a usar

La propia Mozilla llegó por dos vías a los falsos positivos que detectaban las IA actuales con modelos más capaces y una forma mucho mejor de dirigirlos, escalarlos y filtrar lo que no servía. No parecían muy prometedores, y en las pruebas se confirmó: no había para tanto… Hasta que Anthropic lanzó al “coco”.

La clave está en que Claude Mythos Preview no se quedó en mirar el código y decir “aquí puede haber algo raro”. Mozilla montó una canalización sobre su infraestructura de fuzzing para que el sistema generase casos de prueba reproducibles, comprobase hipótesis y descartase la especulación que no se podía demostrar. Dicho en bruto: menos humo, más pruebas.

Ahí entra el dato que cambia el tono de toda la historia. Mozilla explica que sus intentos anteriores con modelos como GPT 4 o Sonnet 3.5 ya apuntaban maneras, pero tenían una tasa alta de falsos positivos, así que no eran prácticos para escalar. Con los nuevos harnesses agénticos, en cambio, habla de bugs reales y de especulación no reproducible descartada por el propio sistema.

Números y gravedad que asustan, la ciberseguridad va a cambiar por completo

Los ejemplos que ha enseñado Mozilla no son “fallitos” de andar por casa con vulnerabilidades pequeñas o sin mucha importancia. Hay errores en WebAssembly GC, JIT, IPC, IndexedDB, XSLT, WebTransport, DNS, ECH, RLBox y tablas HTML. Algunos llevaban 15 o 20 años escondidos, otros estaban relacionados con use-after-free, lecturas fuera de límites, fugas de memoria o posibles escapes de sandbox que, combinados con otros exploits, podrían formar cadenas mucho más peligrosas.

Firefox en su versión 150 corrigió los 271 bugs identificados con Claude Mythos Preview, y de ellos, 180 fueron sec-high, 80 sec-moderate y 11 sec-low. Además, Mozilla corrigió 423 bugs de seguridad en abril, sumando reportes externos, hallazgos internos, otros modelos y técnicas como fuzzing o revisión manual. Más de 100 personas participaron en el esfuerzo para sacar adelante parches, pruebas, triaje y lanzamientos a toda velocidad, un despliegue sin precedentes.

Mozilla también deja claro que un bug sec-high no equivale automáticamente a un exploit práctico, porque Firefox usa defensa en profundidad, sandboxing y mitigaciones del Sistema Operativo, así que un atacante suele necesitar encadenar varios fallos. Aun así, el salto es evidente: la IA ya no solo apunta dónde mirar, Claude Mythos también empieza a construir pruebas para enseñar por qué había que centrar la mirada, y no falla.

Por eso el sector de la banca, la tecnología y el software están sudando ahora mismo, acaban de descubrir que todos sus sistemas son inseguros, y que seguramente han estado expuestos en algún momento. Cuando Anthropic lance oficialmente Mythos, las empresas correrán a parchear lo que esta IA encuentre, y seguro que nos llevamos muchas sorpresas.

La entrada Mozilla se quita el sombrero con Claude Mythos: tras las 271 vulnerabilidades parcheadas en Firefox aseguran que hubo casi 0 falsos positivos aparece primero en El Chapuzas Informático.

Fuentes:

https://elchapuzasinformatico.com/2026/05/mozilla-claude-mythos-271-vulnerabilidades-firefox-0-falsos-positivos/