Anthropic presenta Mythos: un nuevo modelo de IA que dispara la búsqueda y explotación de vulnerabilidades

Anthropic parece haber mostrado una de las primeras herramientas de IA que cambia no solo la velocidad, sino la propia mecánica de la ciberseguridad. Los primeros evaluadores consideran que Mythos es un sistema notablemente más potente que los modelos anteriores de la compañía, y el acceso está limitado de forma deliberada por ahora para dar ventaja a los defensores antes de que capacidades similares lleguen a los atacantes.

Mythos es el nuevo modelo de Anthropic para programación y tareas agénticas, pero su salto ha sido más visible en ciberseguridad. La empresa no lo lanzó al público general y puso en marcha un programa cerrado, Project Glasswing. Participan Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, Nvidia y Palo Alto Networks. La lógica es sencilla: dar primero el modelo a quienes mantienen infraestructura crítica y grandes bases de código, para que tengan tiempo de encontrar y cerrar los puntos débiles.

Un matiz importante es que Mythos no parece un modelo "hacker" especializado. Anthropic lo describe como su sistema general más potente para código y tareas agénticas, y presenta las capacidades de ciberseguridad como un efecto secundario de ese avance. Cuanto mejor entiende un modelo proyectos grandes, reescribe código y ejecuta por sí solo largas cadenas de acciones, mejor encuentra y aprovecha las debilidades. Por eso la compañía no habla de una actualización puntual, sino de haber cruzado un umbral a partir del cual las medidas de seguridad anteriores ya no bastan.

Según los primeros socios, Mythos supera a generaciones previas no solo al buscar errores, sino también en lo que suele exigir a un ingeniero experimentado de seguridad ofensiva: reproducir el problema, entender la ruta de ataque y encadenar varias vulnerabilidades en una cadena funcional. Anthropic afirma sin rodeos que su modelo anterior, Opus 4.6, casi no era capaz de convertir de forma autónoma los errores hallados en un exploit funcional. En un benchmark interno basado en Firefox, el modelo antiguo logró apenas unos pocos aciertos, mientras que Mythos consiguió llevar los ataques a un estado funcional muchas más veces.

La verificación independiente del AI Security Institute británico aporta cifras a estas valoraciones. En tareas de nivel experto, el modelo alcanzó un 73 % de éxito y, en una simulación de ataque corporativo de 32 pasos, fue el primer sistema en completar el escenario desde el reconocimiento hasta el control total de la red. Logró completar toda la cadena en 3 de 10 intentos y, de media, superó 22 de los 32 pasos. Esto importa no porque la IA haya "inventado" de pronto un nuevo tipo de intrusión, sino porque ha empezado a automatizar etapas largas y costosas para una persona.

Por ahora, Anthropic subraya el uso defensivo. La compañía asegura que Mythos ya ha ayudado a detectar miles de vulnerabilidades de día cero en software crítico y ha destinado 100 millones de dólares en créditos de computación al programa de acceso temprano. Pero la otra cara es evidente: lo que hoy ayuda con parches y auditorías puede acelerar mañana el trabajo de los atacantes. Los socios del proyecto advierten sin ambigüedad de que la ventana entre el descubrimiento de un fallo y su explotación práctica se reduce de meses a minutos, sobre todo si el modelo puede actuar de forma agéntica y no pierde contexto en grandes bases de código.

Para el mercado, es una señal en dos direcciones. Primero, la ciberdefensa deja de ser un proceso que se resuelve con auditorías esporádicas y parches programados: si los modelos al nivel de Mythos se hacen realidad, la defensa también debe ser casi continua. Segundo, el riesgo principal se desplaza de las "supermodelos" en sí a la calidad de la infraestructura que las rodea.

Las grandes empresas con equipos de seguridad sólidos probablemente integrarán estas herramientas antes en su defensa. Las más vulnerables parecen las organizaciones pequeñas y medianas, con sistemas heredados, ciclos de actualización largos y escasez de especialistas. Para ellas, la llegada de Mythos puede ser no una noticia abstracta del mundo de la IA, sino una advertencia directa.