La industria de la ciberseguridad cuestiona lo que Anthropic afirma sobre la búsqueda de vulnerabilidades con Mythos

Anthropic Mythos despierta interés, pero también un escepticismo creciente. El modelo da que hablar por su capacidad para encontrar vulnerabilidades peligrosas, aunque podría ser menos único de lo que sugiere su presentación pública. Si los resultados de las pruebas internas de Aisle son correctos, el caso que alarmó a organismos públicos y grandes organizaciones también se reproduce con modelos open-source mucho más baratos.

La discusión arrancó a raíz de las afirmaciones de que Mythos puede detectar defectos de software y vulnerabilidades a un nivel que obligó a agencias gubernamentales y clientes institucionales a tomarse más en serio los riesgos de una herramienta así. Que solo un grupo limitado de empresas esté probando el modelo aumenta la tensión: con el acceso cerrado, el mercado no puede apoyarse en un benchmark amplio y depende de demostraciones puntuales y de las evaluaciones del propio desarrollador. Ahí llegó la crítica clave de Jaya Baloo, COO y CISO de la empresa de ciberseguridad Aisle.

Según ella, en pruebas internas su equipo logró reproducir el mismo resultado que citaba Anthropic con modelos de código abierto de bajo coste. Dicho de otro modo, quizá no se trate de un salto tecnológico inalcanzable de un sistema cerrado, sino de una tarea que herramientas más accesibles ya pueden resolver con la configuración adecuada, suficiente contexto y un prompt bien planteado. Para compradores y reguladores, la diferencia es enorme.

Un escenario es el de un modelo poco común, con acceso estrictamente controlado, que muestra un resultado inusual en un entorno cerrado. Otro muy distinto es aquel en el que sistemas más baratos, aptos para despliegue interno o para trabajar con código abierto, logran un efecto comparable. En el primer caso, el foco está en restringir el acceso a un producto concreto.

En el segundo, en que las organizaciones tendrán que revisar sus procesos de protección, revisión de código y pruebas internas como parte de una nueva normalidad. La historia tiene otra capa importante: hasta qué punto se puede confiar en afirmaciones llamativas en una fase temprana de pruebas. Mientras el modelo solo lo evalúa un grupo limitado de empresas, el mercado ve únicamente la punta del iceberg: un caso aislado, una formulación efectista y la reacción que provoca.

Pero una evaluación real exige escenarios comparables, resultados reproducibles y conocer las condiciones en las que el modelo encontró una vulnerabilidad concreta. Sin eso, es fácil confundir una demostración impresionante con una ventaja sostenida. Para la industria de la ciberseguridad, este punto es fundamental.

Si la singularidad de Mythos está exagerada, también cambia la valoración de la amenaza. La preocupación en torno a estos modelos se basa en dos premisas: aceleran la búsqueda de vulnerabilidades y rebajan la barrera de entrada para los atacantes. Pero si el mismo efecto se consigue con el ecosistema open-source, el debate debería desplazarse de una empresa concreta a un hecho más amplio: probablemente estas capacidades ya están repartidas por el mercado y no dependen de un único proveedor.

Por otro lado, esto no reduce necesariamente la alarma; más bien la vuelve más práctica. Para organismos públicos, corporaciones y desarrolladores, la pregunta ya no se limita a lo potente que es una IA insignia: también importa a qué velocidad se extienden funciones similares a modelos de bajo coste y de acceso público. El acceso cerrado a Mythos podía transmitir la sensación de un peligro exclusivo.

La afirmación de Aisle apunta a otro escenario: las capacidades para encontrar bugs, útiles para los defensores e igual de arriesgadas en manos de los atacantes, ya se están generalizando. La conclusión principal es que la polémica sobre Anthropic Mythos trata de la calidad de un modelo concreto y, a la vez, de cómo mide el mercado lo excepcional de la IA en ciberseguridad. Si las soluciones open-source baratas realmente encuentran las mismas vulnerabilidades, la ventaja competitiva de Anthropic parece menos espectacular, y el debate pasa del terreno del sensacionalismo al de la verificación, las pruebas comparativas y el control del acceso a este tipo de herramientas.