Anthropic y Claude Mythos elevan la amenaza: la IA pone los ciberataques al alcance de novatos

En abril de 2026, Anthropic presentó Claude Mythos Preview y avivó el debate sobre cómo la IA cambia la ciberseguridad. El mayor temor del sector ya no es que los modelos encuentren fallos, sino que personas sin formación técnica profunda puedan encontrarlos y explotarlos.

Del concurso a la alarma

Ya en agosto de 2025, en el concurso DARPA AI Cyber Challenge de Las Vegas, varios equipos probaron sistemas automáticos de búsqueda de vulnerabilidades sobre 54 millones de líneas de código real. Las herramientas encontraron no solo errores introducidos de forma artificial, sino también fallos genuinos que los organizadores no pensaban mostrar. Es un cambio importante: incluso antes del revuelo en torno a Mythos, ya se veía que la IA puede buscar vulnerabilidades a una escala que a una persona, o incluso a un equipo de investigadores, le lleva mucho más tiempo.

Ahora el mercado teme no la automatización en sí, sino su democratización. Antes, los llamados script kiddies tomaban scripts ya hechos de internet y ejecutaban exploits ajenos, a menudo sin entender cómo funcionaban. Con modelos de IA de este nivel, el esquema cambia: en lugar de copiar herramientas antiguas, se puede pedir al sistema en una conversación que estudie código nuevo, proponga una cadena de ataque y perfeccione un exploit para un objetivo concreto. Para los atacantes poco cualificados, ya no es una aceleración, sino casi una nueva clase de capacidades.

Los ataques se han abaratado

Lo que más inquieta a los expertos no es Claude Mythos en sí, sino la fuerte caída del coste de un ataque en sentido amplio: tiempo, esfuerzo y cualificación necesaria. Los investigadores afirman que encontrar una vulnerabilidad grave en una base de código desconocida podía llevar semanas o meses, y ahora lleva horas. Tim Becker, de Theori y finalista de AIxCC, afirma sin rodeos que, con indicaciones mínimas y a veces sin ninguna, la IA ya puede encontrar zero-days en software de uso extendido.

«El umbral para encontrar un fallo en una base de código de un millón

de líneas es ahora mucho más bajo que antes».

Por ello resulta rentable atacar incluso sistemas que antes parecían demasiado de nicho o demasiado caros de investigar. Si el esfuerzo es casi gratuito, los atacantes pueden buscar puntos débiles en configuraciones poco comunes, en software corporativo interno o en servicios que usa una sola empresa. Los modelos pueden probar variantes con rapidez, combinar patrones de error conocidos y escribir borradores funcionales de exploits casi al vuelo.

Anthropic intenta contener el riesgo: el acceso a Mythos está restringido y en Claude Opus 4.7 se añadió protección frente a solicitudes cibernéticas maliciosas. Pero nadie garantiza que otros desarrolladores vayan a ser igual de cautos.

El problema principal son los parches

Para las empresas, el principal riesgo ya no parece un «apocalipsis de vulnerabilidades», sino un «apocalipsis de parches». Si los modelos encuentran miles de problemas más rápido de lo que los equipos pueden verificarlos y corregirlos, el cuello de botella deja de ser la búsqueda y pasa a ser la respuesta.

Los expertos aconsejan preparar ya un plan Mythos-ready: segmentar las redes, ordenar la gestión de identidades y accesos, pasar a enfoques memory-safe donde sea posible y eliminar la dependencia de autenticación débil. Cuantas menos capas de defensa tenga una empresa hoy, más dolerá la próxima oleada de informes de vulnerabilidades.

• Segmentación de redes y servicios
• Control estricto de identidades y accesos
• Código y arquitectura más seguros
• Autenticación resistente al phishing y actualizaciones rápidas

Hay otro efecto desagradable: la ventana entre la publicación de una vulnerabilidad y la aparición de un exploit casi desaparece. En cuanto sale un parche, los atacantes pueden analizarlo, entender qué se corrigió exactamente y buscar sistemas sin actualizar. Por eso, priorizar se vuelve casi tan difícil como reparar. Una vulnerabilidad crítica en un servicio interno no siempre es más peligrosa que un error menos grave en el perímetro externo.

Y este flujo deben atenderlo personas: analistas de amenazas, equipos de respuesta a incidentes e ingenieros que conozcan la base de código lo bastante bien como para arreglar no solo rápido, sino también sin crear nuevos problemas a futuro.

La herramienta Xint, de Theori, es un ejemplo revelador. Según la empresa, encontró todos los fallos que Mythos detectó en las mismas bases de código y añadió otros 12 zero-days que no figuraban en el anuncio original de Anthropic. Pero corregir lo hallado es mucho más difícil que encontrarlo. Un buen parche requiere contexto: hay que entender si romperá funcionalidades, si empeorará el mantenimiento del código o si creará nuevos agujeros. En el código abierto esto es especialmente duro, porque sobre equipos pequeños y mantenedores individuales puede caer un torrente de tickets imposible de atender a la velocidad con que la IA genera hallazgos.

Qué significa

La IA está cambiando la seguridad ofensiva más rápido de lo que las empresas rehacen sus procesos de defensa. En 2026 no ganarán quienes tengan más escáneres, sino quienes sepan priorizar riesgos con rapidez, publicar actualizaciones y construir de antemano software más seguro. De lo contrario, incluso los atacantes sin preparación seria tendrán herramientas que antes solo estaban al alcance de investigadores destacados y grupos avanzados.