La NSA prueba el modelo Mythos de Anthropic para encontrar vulnerabilidades en productos de Microsoft

La NSA de EE. UU. prueba el nuevo modelo de inteligencia artificial Mythos, de Anthropic, para encontrar vulnerabilidades en software popular, incluidos productos de Microsoft. Es una de las señales más visibles de que los modelos generativos se empiezan a usar no solo para escribir código, sino también para auditar la seguridad al nivel de grandes organismos públicos.

Qué se sabe hasta ahora

Según la información disponible, la Agencia de Seguridad Nacional de EE. UU. comprueba hasta qué punto el modelo de Anthropic es capaz de encontrar puntos débiles en software de uso generalizado. Entre los sistemas incluidos en las pruebas se mencionan productos de Microsoft.

Los detalles del proyecto no se han revelado. No se sabe si se trata de un piloto interno, de una evaluación puntual de las capacidades del modelo o de un proceso más amplio que podría pasar a ser una práctica permanente. Tampoco hay datos públicos sobre qué clases de errores busca el sistema.

También importa quién encarga estas pruebas. Si la NSA experimenta con IA para localizar fallos, la tecnología se considera no una demostración de laboratorio, sino una herramienta potencialmente útil para tareas reales de ciberseguridad. Para el mercado es un indicio fuerte: las grandes organizaciones están dispuestas a comprobar si un modelo puede acelerar el trabajo de los especialistas que protegen la infraestructura y el software corporativo. Sobre todo allí donde el coste de un error pasado por alto es demasiado alto.

La combinación de Anthropic, Microsoft y la NSA despierta un interés particular. Por un lado, un gran desarrollador de modelos que impulsa la IA en escenarios corporativos y sensibles. Por otro, un ecosistema de software sobre el que descansa buena parte del trabajo de oficina, de nube y de infraestructura. Cuando estos actores coinciden en un mismo caso, ya no es un experimento para una presentación, sino una prueba de valor práctico en un entorno de alto riesgo.

Cómo podría funcionar

En escenarios como este, la IA no sustituye por completo al investigador de seguridad, sino que ayuda a analizar más rápido grandes volúmenes de código, documentación y dependencias del sistema. El modelo puede usarse como asistente que propone hipótesis, señala zonas sospechosas, ayuda a reproducir cadenas de errores e indica dónde conviene profundizar. La validación final sigue en manos de una persona, sobre todo en productos críticos. Esto es especialmente importante en sistemas antiguos y complejos.

El interés es revelador también para Microsoft. Sus soluciones sustentan una enorme cantidad de sistemas corporativos y gubernamentales, así que incluso vulnerabilidades menores en productos populares pueden tener un efecto amplio. Si la IA puede detectar esos problemas antes que los atacantes o que los ciclos clásicos de auditoría, la ganancia no será solo de velocidad, sino de escala: el mismo modelo puede analizar en paralelo más componentes que un equipo limitado a mano.

Dónde aporta valor a la defensa

En proyectos así, los modelos suelen ser valiosos no por una única función «mágica», sino como un conjunto de aceleradores para el equipo de seguridad. No eliminan la auditoría manual, pero ayudan a acotar antes el alcance de la revisión, fijar prioridades y traducir señales técnicas en bruto en acciones claras para ingenieros, analistas y responsables de producto. Esta capa resulta útil cuando el equipo tiene poco tiempo para la clasificación inicial de señales y demasiados lugares donde puede esconderse un error.

• señalan con rapidez zonas de código y lógica potencialmente de riesgo
• ayudan a relacionar los síntomas de un error con clases conocidas de vulnerabilidades
• sugieren escenarios de prueba para combinaciones raras o complejas de componentes
• acortan el tiempo entre la señal inicial y la revisión manual
• ayudan a documentar las conclusiones en un lenguaje claro para desarrolladores y analistas

Aun así, estas herramientas siguen teniendo muchas limitaciones. Un modelo puede marcar por error como peligroso código seguro, pasar por alto fallos atípicos o ofrecer explicaciones convincentes pero incorrectas. Por eso la cuestión clave no es si la IA «sabe buscar vulnerabilidades» en general, sino con qué estabilidad lo hace en productos reales, con un número aceptable de falsos positivos y un beneficio claro para el equipo. Por eso, sin expertos, estos sistemas todavía no funcionan.

Qué significa

El caso de Mythos muestra que la siguiente etapa de la adopción de la IA en ciberseguridad no son los chatbots de consulta, sino las herramientas prácticas para auditar software complejo. Si estas pruebas dan resultado, los grandes proveedores y los organismos públicos empezarán a integrar modelos más rápido en los procesos de búsqueda y priorización de vulnerabilidades.