Anthropic y el modelo Mythos: por qué el peligro para los bancos se convirtió rápido en un riesgo para todos

Anthropic lanzó Mythos al mercado como un modelo peligroso para liberar en acceso abierto, y con ello desplazó el debate sobre la IA de «¿es más cómodo trabajar así?» a «¿llegaremos a tiempo para defendernos?». A primera vista, la alarma parece una historia solo sobre bancos: tras el anuncio, el secretario del Tesoro de EE. UU., Scott Bessent, reunió a los directivos de Wall Street y les exigió asegurarse de que sus sistemas estén preparados para una nueva oleada de riesgos cibernéticos. Pero la conclusión más incómoda es otra: si incluso las organizaciones con los entornos informáticos mejor protegidos del mundo se inquietan por este modelo, para miles de empresas corrientes la amenaza es aún mayor.

Según la descripción y las primeras valoraciones, Mythos sí se distingue de los modelos masivos habituales, como ChatGPT o Gemini, precisamente en escenarios de ciberseguridad. Las investigaciones a las que remite el material indican que el modelo está mejor adaptado a ataques complejos y es especialmente peligroso para sistemas simplificados y «poco protegidos». Además, no solo las grandes empresas intentan obtener acceso, sino también organismos estatales: entre las primeras organizaciones con acceso se menciona el Instituto de Seguridad de la IA del Reino Unido, y el Tesoro estadounidense también insiste en conectarse.

Ese interés demuestra que ya no se trata de exhibir la potencia de una IA más, sino de una herramienta capaz de cambiar el equilibrio entre ataque y defensa.

El problema radica en el viejo modelo de respuesta ante vulnerabilidades. Durante años, el mercado vivió con el esquema de divulgación responsable: el proveedor encuentra el fallo, publica los detalles, lanza un parche y los clientes prueban con calma la actualización y la despliegan en su infraestructura. Microsoft lo convirtió en un proceso regular conocido como Patch Tuesday. En grandes bancos como Barclays o Wells Fargo, las correcciones recorren un camino largo: revisión, aprobación, evaluación de riesgos para los sistemas en producción y solo después la implantación. Antes funcionaba porque los atacantes también necesitaban tiempo para estudiar la descripción del fallo, idear cómo explotarlo y dejar el ataque operativo.

La IA generativa y, después, los modelos agénticos empezaron a romper esa lógica. Ahora un sistema no solo puede leer publicaciones sobre vulnerabilidades, sino también buscar por su cuenta puntos débiles similares en código abierto, probar variantes de intrusión y encadenar varios errores menores en un ataque de varios pasos. Por eso la ventana de defensa se estrecha drásticamente. Según zerodayclock.com, el tiempo medio entre el descubrimiento de una vulnerabilidad y la aparición de un exploit funcional ha pasado de 771 días en 2018 a menos de cuatro horas en la actualidad.

Aquí se entiende por qué el pánico por Mythos no debería limitarse a Wall Street. A los hackers de «sombrero negro» tampoco les ha atraído nunca especialmente asaltar bancos, con su alto nivel de control y su defensa en varias capas. Resulta mucho más rentable atacar hospitales, contratistas, servicios regionales o una tienda pequeña con la infraestructura mal configurada y exigir un rescate.

Si modelos como Mythos reducen la barrera de entrada a esos ataques y aceleran su preparación, la zona de riesgo principal se desplaza hacia donde hay menos personal, menos presupuesto y casi ningún tiempo de reacción. La historia refuerza además el aura de la propia Anthropic como la empresa que marcó públicamente por primera vez un nuevo umbral de peligro.

La pregunta principal ya no es quién tendrá acceso a Mythos, sino si el antiguo ritmo de la ciberdefensa sigue siendo viable. Si entre la divulgación de una vulnerabilidad y el ataque real quedan apenas unas horas, los ciclos mensuales de parches pierden sentido. Los bancos quizá puedan pasar a una actualización casi continua, una verificación automatizada y una gestión de cambios más estricta. Para las pequeñas y medianas empresas, sin servicios de protección baratos, sin nuevos requisitos para los proveedores y, probablemente, sin ayuda regulatoria, será mucho más difícil.

Por eso Mythos importa no como un modelo sensacionalista más, sino como advertencia: la era en que se disponía de semanas y meses para corregir errores está terminando.