Claude Mythos: La IA que rompe la ciberseguridad
El Modelo de Seguridad que Acaba de Cambiar Todo. Anthropic creó una IA llamada Claude Mythos que descubrió vulnerabilidades de seguridad que los humanos no vieron durante décadas.
Incluyendo un error de 27 años en OpenBSD (un sistema operativo usado en servidores de todo el mundo).
¡Claude Mythos finalmente esta aquí!
Lo más sorprendente: nadie la entrenó para hackear. Simplemente aprendió tanto sobre código que la capacidad de encontrar fallas apareció sola.
Y Anthropic no la va a lanzar al público. En cambio, crearon el Proyecto Glasswing para que los defensores parcheen primero — antes de que los atacantes lleguen.
¿Qué puede hacer Claude Mythos?
- Encontró un bug de 27 años en OpenBSD y uno de 16 años en FFmpeg (el software que procesa video en casi todos los servicios grandes de internet)
- Convierte el 72.4% de las vulnerabilidades que encuentra en ataques funcionales (los modelos anteriores: casi 0%)
- Encadena múltiples fallas para crear ataques complejos, como los mejores hackers humanos
- Obtiene 93.9% en pruebas de corrección de código (el anterior récord era 80.8%)
¿Cómo surgió esta capacidad sin entrenamiento directo?
Imagina que entrenas a alguien para ser el mejor cerrajero del mundo. No le enseñas a entrar a casas ajenas. Pero ahora entiende las cerraduras tan bien que entrar se vuelve trivial. Esa habilidad llegó gratis.
Lo mismo pasó con Mythos. La entrenaron para escribir y corregir código. Pero al entender el código tan profundamente, aprendió a explotarlo también.
Esto no es un error. Es estructural — y va a pasar con cada generación de IA más avanzada.
Vulnerabilidades reales que encontró
- Fallas que permiten apagar servidores OpenBSD de forma remota
- Bugs en Linux que permiten a usuarios sin permisos volverse administradores
- Un exploit para navegadores que encadenó 4 vulnerabilidades separadas para escapar de dos capas de seguridad a la vez
Ese nivel de ataque encadenado es lo que hacen los mejores hackers del mundo. Ahora una IA lo hace en minutos.
El dilema sin solución
Anthropic tiene una IA que puede proteger internet… y también romperla si cae en manos equivocadas.
No puedes borrar esta capacidad. Y guardar el secreto para siempre tampoco funciona: otros laboratorios construirán algo equivalente en 12 a 24 meses.
El tiempo entre descubrir una vulnerabilidad y explotarla colapsó de meses a minutos con IA. El reporte global de amenazas de CrowdStrike 2026 documentó un aumento del 89% en ataques usando IA respecto al año anterior.
La pregunta ya no es si esta capacidad va a existir. La pregunta es quién llega primero.
Proyecto Glasswing: los defensores van primero
Anthropic eligió no lanzar Mythos al público. En cambio, crearon el Proyecto Glasswing con:
- Socios como AWS, Apple, Google, Microsoft, Nvidia, Cisco, CrowdStrike y JP Morgan
- Acceso para más de 40 organizaciones que mantienen infraestructura crítica de código abierto
- $100 millones en créditos de uso y $4 millones en donaciones directas a grupos de seguridad
Por primera vez, los mantenedores de software fundamental — que trabajan sin los recursos de grandes empresas — tienen acceso a IA de frontera antes que los atacantes.
¿Qué significa esto para tu negocio o sitio web?
La infraestructura que usas hoy ya tiene vulnerabilidades que la IA encontró… pero que los humanos aún no han parcheado.
Menos del 1% de los bugs descubiertos están completamente corregidos hasta ahora. Hay miles en proceso de divulgación responsable.
Pero hay una buena noticia: cuando Mythos encuentra un bug en Linux o en el framework que usa tu sitio en México, Colombia o Argentina, ese parche llega a ti a través de una actualización normal.
Sin costo. Sin que lo notes. Con el mismo nivel de seguridad que protege a Apple o Google.
Por qué esto va a acelerar
Cada generación de IA va a ser mejor encontrando exploits. La curva no se aplana — se vuelve más pronunciada.
Lo que importa ahora es si esto se convierte en el nuevo estándar o si fue algo que un solo laboratorio hizo una vez.
Por primera vez, los defensores tienen ventaja real. Eso importa más de lo que la mayoría cree.
Preguntas frecuentes
¿Qué es Claude Mythos? Es un modelo de IA de Anthropic entrenado para analizar y corregir código. Como efecto secundario de entender el software tan profundamente, desarrolló capacidades avanzadas de ciberseguridad.
¿Por qué no lo lanzan al público? Porque las mismas capacidades que lo hacen excelente para defender también lo hacen peligroso para atacar. Lanzarlo públicamente daría a los atacantes una herramienta que supera a la mayoría de hackers humanos.
¿Qué es el Proyecto Glasswing? La iniciativa de Anthropic para dar acceso prioritario a equipos defensivos. Incluye socios como AWS, Apple, Google y más de 40 organizaciones de código abierto, con $100 millones en créditos y $4 millones en fondos directos.
¿Habrá modelos similares en otros laboratorios? Sí. Anthropic estima que capacidades equivalentes aparecerán en 12 a 24 meses. Por eso dar ventaja a los defensores ahora es crítico.
Lo más importante
- La IA entrenada para programar desarrolla capacidades de hacking como efecto secundario
- Claude Mythos encontró vulnerabilidades que sobrevivieron décadas de revisión humana
- El tiempo entre descubrir y explotar una vulnerabilidad colapsó de meses a minutos
- El Proyecto Glasswing da ventaja a los defensores antes que los atacantes tengan herramientas equivalentes
- Menos del 1% de los bugs descubiertos están parcheados — tu infraestructura probablemente tiene fallas que la IA ya encontró
- La decisión de Anthropic establece un precedente para el manejo responsable de IA de doble uso
