La comunidad de ciberseguridad ha estado en alerta máxima desde que Anthropic, la empresa detrás de Claude, anunciara el 7 de abril de 2026 la aparición de capacidades inesperadas – y preocupantes – en su modelo de lenguaje de gran tamaño (LLM) más avanzado hasta la fecha: Claude Mythos Preview. El sistema de inteligencia artificial demostró una habilidad sin precedentes para identificar y explotar vulnerabilidades de software, los fallos más críticos que pueden comprometer la seguridad de sistemas y datos.

La noticia desató una ola de inquietud entre gobiernos, empresas de tecnología y el público en general, con algunos llegando a calificar a Mythos como una amenaza global para la ciberseguridad. La capacidad de la IA para socavar las defensas digitales, hasta ahora en manos de expertos, se ha democratizado, al menos potencialmente. Ante el riesgo percibido, Anthropic tomó la decisión de no liberar el modelo al público de forma inmediata. En su lugar, lanzó “Proyecto Glasswing”, otorgando acceso exclusivo a gigantes tecnológicos para evaluar sus capacidades y, presumiblemente, desarrollar contramedidas.

Como investigador en ciberseguridad, considero que las capacidades de Mythos son, sin duda, impresionantes. Sin embargo, lejos de representar una ruptura radical, este sistema actúa más como un espejo que refleja las deficiencias inherentes a la forma en que construimos y mantenemos nuestros sistemas digitales. No es tanto una nueva amenaza, como una amplificación de las existentes.

Durante las pruebas controladas, ingenieros con conocimientos básicos en seguridad instruyeron a Mythos para escanear miles de bases de código en busca de vulnerabilidades. Los resultados fueron asombrosos. El modelo demostró una capacidad notable para llevar a cabo ataques autónomos y complejos, que normalmente requerirían semanas o incluso meses de trabajo a un equipo de expertos. En el caso específico de Mozilla Firefox, Mythos identificó 271 vulnerabilidades y desarrolló exploits – código que aprovecha esas vulnerabilidades – para 181 de ellas.

En total, el equipo de “red team” de Anthropic (encargado de simular ataques para probar las defensas) y el Instituto de Seguridad de la IA del Reino Unido reportaron que Mythos descubrió miles de vulnerabilidades de “día cero”. Estas son fallos de seguridad desconocidos para el proveedor del software, lo que significa que no existen parches disponibles para protegerse contra ellos. La gravedad de este hallazgo es evidente: un atacante con acceso a una herramienta como Mythos podría explotar estas vulnerabilidades antes de que los desarrolladores tengan la oportunidad de corregirlas.

Pero, ¿qué significa esto en la práctica? ¿Estamos al borde de una nueva era de ciberataques impulsados por IA? La respuesta no es tan sencilla. Si bien Mythos demuestra el potencial de la IA para automatizar y escalar los ataques, también pone de manifiesto la necesidad urgente de mejorar la seguridad del software. La proliferación de vulnerabilidades encontradas por Mythos no es un problema nuevo, sino una consecuencia de la complejidad creciente del software moderno y la falta de inversión en prácticas de desarrollo seguro.

El verdadero peligro no reside tanto en la IA en sí, sino en la posibilidad de que caiga en manos equivocadas. Un actor malicioso con acceso a Mythos podría lanzar ataques devastadores a gran escala. Sin embargo, la decisión de Anthropic de restringir el acceso al modelo y colaborar con la industria para desarrollar contramedidas es un paso en la dirección correcta.

El caso de Mythos AI sirve como una llamada de atención para la comunidad de ciberseguridad. Es imperativo que invirtamos en investigación y desarrollo de nuevas técnicas de defensa, que adoptemos prácticas de desarrollo seguro y que fomentemos la colaboración entre la industria y el gobierno para abordar esta creciente amenaza. La IA no es la causa de nuestros problemas de seguridad, pero sí puede ser un catalizador para la innovación en la búsqueda de soluciones.