El día que la ciberseguridad dejó de ser humana
Anthropic lanzó Mythos, un modelo de IA que detectó miles de vulnerabilidades críticas en semanas, incluidas fallas de décadas sin parchear. Menos del 1% están corregidas.
La ventana de exposición entre descubrimiento y remediación se midió antes en días. Ahora se mide en minutos. Los reguladores estadounidenses y alemanes califican esto como un cambio de paradigma.
Tu infraestructura no está diseñada para defenderse a esta velocidad.
Video – Claude Mythos
El 10 de abril, Powell y Bessent convocaron una reunión de emergencia con los CEO de los principales bancos estadounidenses.
No fue sobre tipos de interés. Fue sobre Mythos.
Anthropic acababa de anunciar el Proyecto Glasswing. Su modelo frontier, Claude Mythos Preview, había encontrado miles de vulnerabilidades críticas en semanas.
Vulnerabilidades que habían sobrevivido décadas de auditorías humanas, millones de tests automatizados y equipos de seguridad de élite.
Lo que necesitas saber:
- Mythos detectó más de 1.000 vulnerabilidades críticas en sistemas operativos y navegadores principales. El 99% permanece sin parchear.
- Una vulnerabilidad de 27 años en OpenBSD y otra de 16 años en FFmpeg pasaron millones de tests antes de ser descubiertas por Mythos.
- El tiempo promedio de breakout de ataques cayó a 29 minutos. Mythos construyó exploits autónomos en horas, no semanas.
- Modelos pequeños y baratos (3.6 mil millones de parámetros, $0.11 por millón de tokens) replicaron 8 de 8 vulnerabilidades emblemáticas de Mythos.
- Anthropic retuvo el modelo del lanzamiento público. Primera vez en siete años que una empresa líder retiene un modelo por seguridad.
El problema no es que Mythos las encontró. El problema es que las encontró demasiado rápido.
¿Por qué Mythos es diferente a las herramientas de seguridad tradicionales?
Nicholas Carlini de Anthropic lo resumió sin adornos: He encontrado más bugs en las últimas semanas que en el resto de mi vida combinada.
Menos del 1% de las vulnerabilidades detectadas por Mythos están parcheadas.
Anthropic reportó más de 1.000 vulnerabilidades de severidad crítica y miles más de alta gravedad en todos los sistemas operativos principales y todos los navegadores principales.
Anthropic publicará los detalles completos en julio de 2026. Hasta entonces, existe una ventana de exposición masiva que separa lo que Mythos sabe de lo que los equipos de seguridad pueden remediar.
La ventana entre publicación de una vulnerabilidad y su inclusión en el catálogo KEV de CISA cayó de 8.5 días a solo 5 días.
Pero eso sigue siendo escala humana.
Mythos opera en escala de máquina.
Punto central: La brecha entre lo que Mythos detecta y lo que los equipos humanos pueden parchear crece cada semana. El 99% de vulnerabilidades críticas permanece expuesto porque la remediación humana no puede competir con la detección automatizada.
¿Qué tan rápido se están acelerando los ataques?
El tiempo promedio de breakout de eCrime cayó a 29 minutos.
Algunos casos de SCATTERED SPIDER aceleraron de apropiación de cuentas a ransomware en 24 horas.
El CTO de CrowdStrike advirtió: los adversarios que aprovechan IA agéntica pueden realizar esos ataques a tal velocidad que un proceso humano tradicional de mirar alertas, hacer triaje, investigar durante 15 a 20 minutos, tomar una acción una hora, un día, una semana después, es insuficiente.
Tu infraestructura no está diseñada para defenderse de algo que encadena cuatro vulnerabilidades en horas.
Mythos construyó autónomamente un exploit que escapó tanto del sandbox del renderizador como del sistema operativo.
Expertos en pruebas de penetración dijeron que les habría tomado semanas desarrollar algo así.
El modelo lo hizo solo.
Punto central: Los ataques acelerados por IA operan más rápido de lo que los procesos humanos de triaje y respuesta pueden manejar. La ventana entre apropiación inicial y daño completo se comprimió de días a minutos.
¿Puede retenerse este tipo de capacidad?
Anthropic retuvo Mythos del lanzamiento público.
Primera vez en casi siete años que una empresa líder de IA retiene un modelo por preocupaciones de seguridad.
Investigadores de AISLE demostraron que modelos pequeños y baratos. Uno con solo 3.6 mil millones de parámetros que cuesta $0.11 por millón de tokens, detectaron 8 de 8 de las vulnerabilidades emblemáticas de Mythos.
Incluyendo la recuperación de la cadena central del bug de OpenBSD de 27 años.
El foso en ciberseguridad de IA es el sistema, no el modelo.
Las capacidades se democratizarán más rápido de lo que los reguladores pueden responder.
Más rápido de lo que las organizaciones pueden parchear.
Más rápido de lo que los bancos pueden fortalecer sus defensas.
Punto central: La retención de modelos no detiene la democratización de capacidades ofensivas. Modelos pequeños y accesibles ya replican las vulnerabilidades clave descubiertas por Mythos.
¿Qué significa esto para tu organización?
La explotación confirmada de vulnerabilidades CVSS 7 a 10 aumentó un 105% interanual.
IBM X-Force observó un aumento del 44% en ataques que comenzaron con explotación de aplicaciones públicas.
Las acciones de ciberseguridad colapsaron tras el anuncio.
Cloudflare bajó 8.62%. CrowdStrike cayó 7.46%.
La pregunta que los analistas están haciendo: si modelos como Mythos pueden defender y remediar vulnerabilidades autónomamente en tiempo real, ¿qué valor comercial queda para capas tradicionales de monitoreo reactivo?
Anthropic comprometió $100 millones en créditos de uso de Mythos más $4 millones en donaciones directas.
Más de 40 organizaciones que construyen infraestructura de software crítico recibieron acceso. AWS, Apple, Broadcom, Cisco, Google, JPMorgan Chase, Linux Foundation, Microsoft, Nvidia, Palo Alto Networks.
El jefe de la agencia cibernética de Alemania llamó a Mythos un cambio de paradigma.
No está exagerando.
La ciberseguridad dejó de ser un problema humano el día que Mythos encontró en semanas lo que equipos enteros no encontraron en décadas.
Tu ventana para adaptarte no es de años. Es de meses.
Punto central: La explotación de vulnerabilidades críticas aumentó un 105% interanual mientras las herramientas de defensa tradicionales pierden relevancia. Las organizaciones tienen meses, no años, para recalibrar estrategias defensivas.
Preguntas frecuentes
¿Qué es Project Glasswing?
Es la iniciativa de Anthropic para usar su modelo Mythos en escaneo defensivo de vulnerabilidades críticas en software de infraestructura. Combina Mythos con socios como AWS, Apple, Google, Microsoft y Nvidia para detectar y parchear fallas antes de que sean explotadas.
¿Cuántas vulnerabilidades detectó Mythos?
Más de 1.000 vulnerabilidades de severidad crítica y miles más de alta gravedad en todos los sistemas operativos principales y navegadores. Menos del 1% están parcheadas actualmente.
¿Por qué Anthropic retuvo Mythos del lanzamiento público?
Porque el modelo es demasiado efectivo detectando vulnerabilidades críticas. Es la primera vez en casi siete años que una empresa líder de IA retiene un modelo por preocupaciones de seguridad. La publicación podría acelerar ataques antes de que las organizaciones puedan parchear.
¿Pueden modelos más pequeños replicar las capacidades de Mythos?
Sí. Investigadores de AISLE demostraron que un modelo con solo 3.6 mil millones de parámetros, que cuesta $0.11 por millón de tokens, detectó 8 de 8 vulnerabilidades emblemáticas de Mythos. La democratización de estas capacidades ya comenzó.
¿Qué tan rápido están ocurriendo los ataques ahora?
El tiempo promedio de breakout de eCrime cayó a 29 minutos. Algunos casos de SCATTERED SPIDER aceleraron de apropiación de cuentas a ransomware en 24 horas. Mythos construyó exploits autónomos en horas, no semanas.
¿Qué deben hacer las organizaciones ahora?
Recalibrar las estrategias defensivas para operar a escala de máquina, no humana. Evaluar si los procesos actuales de triaje y respuesta pueden manejar ataques que encadenan vulnerabilidades en horas. Considerar el acceso a herramientas defensivas basadas en IA antes de que la ventana de exposición se amplíe.
¿Cuándo publicará Anthropic los detalles completos?
Julio de 2026. Hasta entonces, existe una ventana de exposición masiva entre lo que Mythos conoce y lo que los equipos de seguridad pueden remediar.
¿Por qué colapsaron las acciones de ciberseguridad tras el anuncio?
Los analistas cuestionan el valor comercial de capas tradicionales de monitoreo reactivo si modelos como Mythos pueden defender y remediar vulnerabilidades autónomamente en tiempo real. Cloudflare bajó 8.62%, CrowdStrike cayó 7.46%.
Conclusiones clave
- Mythos detectó más de 1.000 vulnerabilidades críticas en semanas. El 99% permanece sin parchear porque la remediación humana opera a una velocidad incompatible con la detección automatizada.
- El tiempo promedio de breakout de ataques cayó a 29 minutos. Los procesos tradicionales de triaje y respuesta son insuficientes contra adversarios que usan IA agéntica.
- Modelos pequeños y baratos ya replican las capacidades ofensivas de Mythos. La democratización de herramientas de explotación aceleradas por IA avanza más rápido de lo que reguladores y organizaciones pueden responder.
- Anthropic retuvo Mythos del lanzamiento público, primera vez en siete años que una empresa líder retiene un modelo por seguridad. Pero la retención no detiene la proliferación de capacidades similares.
- Las organizaciones tienen meses, no años, para recalibrar estrategias defensivas. La ventana entre descubrimiento de vulnerabilidades y explotación se comprimió de días a minutos.
