Anthropic presenta Mythos: una IA para encontrar vulnerabilidades que ya cambia la ciberseguridad y la guerra

Para Anthropic, Mythos no es una versión más de un chatbot. Es la señal de que la IA ha cruzado un umbral a partir del cual puede cambiar de forma notable tanto la ciberseguridad como la planificación militar. El modelo no solo encuentra errores en el código: los convierte en exploits funcionales casi sin intervención humana. Por eso la compañía no abrió el acceso masivo. Gregory Allen, asesor sénior del Wadhwani AI Center del CSIS, lo dice sin rodeos: estos sistemas refuerzan la defensa y, a la vez, hacen el mundo más peligroso durante la transición, mientras el software vulnerable aún no ha sido reescrito ni parcheado.

Anthropic anunció Claude Mythos Preview el 7 de abril de 2026. La empresa describe el modelo como un sistema de frontera de propósito general con sólidas habilidades agénticas en programación y razonamiento, pero lo que distingue a Mythos es su nivel de capacidades cibernéticas. Según la propia Anthropic, el modelo ya ha encontrado miles de vulnerabilidades de alta gravedad, incluidos fallos en todos los grandes sistemas operativos y en todos los grandes navegadores web. En sus materiales oficiales, la compañía afirma que Mythos puede descubrir y explotar de forma autónoma vulnerabilidades zero-day.

En las pruebas internas y externas parece un salto cualitativo: en el benchmark CyberGym el modelo obtuvo un 83,1 %, frente al 66,6 % del modelo anterior más cercano de Anthropic. Entre los ejemplos ya revelados hay un error de 27 años en OpenBSD, una vulnerabilidad de 16 años en FFmpeg y una cadena de fallos en el kernel de Linux.

Por su doble uso, se decidió no lanzar Mythos públicamente. En su lugar, Anthropic puso en marcha Project Glasswing, un programa limitado en el que reciben el modelo empresas y organizaciones responsables de software e infraestructura críticos. Entre los socios iniciales, la compañía enumera a AWS, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA, Palo Alto Networks y la Linux Foundation.

Además, se dio acceso a más de 40 organizaciones que mantienen o desarrollan software crítico. Anthropic destina al programa hasta 100 millones de dólares en créditos de uso de Mythos y otros 4 millones de dólares en donaciones directas al ecosistema de código abierto. La lógica es sencilla: si modelos así estarán disponibles más ampliamente pronto, los defensores deben tener al menos un pequeño margen de tiempo para cerrar los agujeros más peligrosos.

Allen cree que ese margen es la clave de la historia. Según él, la ciberseguridad lleva años sufriendo escasez de especialistas, y los buenos atacantes e investigadores de vulnerabilidades son demasiado caros y escasos. Si la IA empieza a hacer por sí sola buena parte de ese trabajo, cambia toda la economía del sector. En el escenario ideal, casi todo producto de software nuevo pasaría por algo parecido a una «prueba Mythos» antes de su lanzamiento: el modelo intentaría romperlo antes que los delincuentes. Pero entre el estado actual de internet y ese escenario hay una enorme capa de código antiguo, incluidos proyectos de código abierto que dependen de equipos pequeños y voluntarios.

Allen prevé que los próximos 12 meses serán un período de reestructuración masiva y dolorosa, sobre todo para bancos, energía y otros propietarios de infraestructura crítica. También afirma que el gobierno federal de EE. UU. está muy lejos de crear un modelo de frontera comparable y que por eso depende de empresas privadas; en el caso de Anthropic, estima que la ventaja sobre sus competidores puede ir de seis a 18 meses.

La parte militar de la conversación es igual de cruda. Allen dice que los modelos de Anthropic son útiles no solo en ciberdefensa, sino también en inteligencia y tareas de combate, y afirma que EE. UU. ya usa estas capacidades de IA en la guerra con Irán. Como marco de referencia recuerda el Project Maven: en origen, un intento de automatizar el análisis primario de vídeo de drones y satélites para aliviar a los analistas. Ahora, según él, la combinación de visión artificial y grandes modelos de lenguaje permite no solo marcar un objeto en pantalla, sino comparar cambios en el tiempo, detectar anomalías, redactar una primera versión del informe de inteligencia y acelerar todo el ciclo de decisión.

Allen aporta una cifra reveladora: si antes la referencia del sistema estadounidense eran decenas de ataques al día, en las primeras 24 horas de la campaña en Irán, según él, se trató de unos 1000 objetivos alcanzados. Detrás de cada cifra así no están solo los ataques, sino miles de decisiones de procesamiento de inteligencia, identificación y priorización de objetivos móviles y camuflados.

La conclusión principal es que Mythos importa no como un modelo cerrado y poco común en sí mismo, sino como señal de una nueva fase. La IA empieza a sustituir trabajo experto escaso en las áreas más sensibles, desde la auditoría de código hasta el análisis de inteligencia. Para el mercado, eso supone más demanda de corrección acelerada de vulnerabilidades, nuevos estándares de desarrollo seguro por defecto y un vínculo más estrecho entre laboratorios de IA, nubes, bancos y Estado.

Para los Estados, una dependencia incómoda de desarrolladores privados que avanzan más rápido que la burocracia. Y para todos los demás, una ventana corta en la que estas mismas herramientas aún pueden usarse sobre todo para defender y no para atacar.