Cómo el Modelo Más Peligroso de Anthropic Encontró Miles de Errores Ocultos en los Sistemas de los Que Todos Dependemos — y Por Qué el Mundo Ahora Corre Para Responder
🌐 El Momento en Que Todo Cambió
El 8 de abril de 2026, el mundo de la ciberseguridad vivió un momento decisivo como ningún otro en su historia. Anthropic —la empresa de seguridad de IA detrás de la familia de modelos Claude— reveló públicamente que su modelo de vanguardia más nuevo y potente, Claude Mythos Preview, había hecho algo que ninguna herramienta anterior había logrado: identificó de forma autónoma miles de vulnerabilidades de día cero —fallos previamente completamente desconocidos para los desarrolladores de software— en todos los sistemas operativos principales, todos los navegadores web principales y una amplia gama de otro software crítico Anthropic, todo en cuestión de semanas de pruebas internas.
Esto no fue un artículo de investigación. No fue un ejercicio teórico. Fue una demostración en el mundo real de un sistema de IA operando a un nivel de capacidad de seguridad ofensiva previamente considerado dominio exclusivo de hackers de élite de estados-nación. Y las implicaciones —para bancos, gobiernos, empresas y usuarios de internet cotidianos— son asombrosas.
🤖 ¿Qué Es Exactamente Claude Mythos Preview?
Claude Mythos Preview es el modelo de vanguardia de propósito general más capaz de Anthropic hasta la fecha. A diferencia de sus predecesores de la familia Claude 4.6, Mythos representa lo que los expertos en seguridad llaman un 'salto de capacidad' —un salto repentino y dramático en lo que un modelo de IA puede hacer por sí solo.
Atributos clave de Mythos Preview:
- 🧠 Descubrimiento autónomo de vulnerabilidades — encuentra fallos sin guía humana
- 🔗 Encadenamiento de exploits — encadena múltiples vulnerabilidades en secuencias de ataque devastadoras
- 🕵️️ Ingeniería inversa — decompila y analiza software de código cerrado
- ⏳ Velocidad — completa tareas en minutos que a expertos humanos les llevaría más de 10 horas
- 🎯 Precisión — logró una tasa de éxito del 72.4% al convertir vulnerabilidades identificadas en el shell JavaScript de Firefox en exploits funcionales Help Net Security
Lo que hace esto especialmente alarmante es *cómo* surgieron estas capacidades. 'No entrenamos explícitamente a Mythos Preview para que tuviera estas capacidades', declaró Anthropic. 'Más bien, surgieron como una consecuencia secundaria de las mejoras generales en código, razonamiento y autonomía'. The Hacker News
En otras palabras: nadie diseñó esta arma. Se diseñó a sí misma —como un efecto secundario de ser mejor en todo lo demás.
🏦 Bancos Bajo la Lupa: Código Heredado y Peligro Oculto
Quizás la dimensión más alarmante de estas revelaciones concierne al sector bancario. El 7 de abril de 2026, el Secretario del Tesoro Scott Bessent y el Presidente de la Reserva Federal Jerome Powell convocaron una reunión de emergencia con los directores ejecutivos de los bancos sistémicamente importantes de la nación —incluyendo Citigroup, Morgan Stanley, Bank of America, Wells Fargo y Goldman Sachs— para advertir sobre las amenazas de ciberseguridad que plantea Claude Mythos Preview. The Agent Times
¿Por qué el pánico? Porque muchas instituciones bancarias importantes operan con infraestructura de software de décadas de antigüedad —sistemas bancarios centrales basados en COBOL de los años 70 y 80, pilas de red personalizadas de antes de la era de Internet y marcos de autenticación que nunca fueron diseñados para enfrentar amenazas modernas. Estos sistemas eran confiables precisamente porque eran oscuros, antiguos y difíciles de analizar. A Claude Mythos Preview no le importa. Lee el código como un gran maestro lee un tablero de ajedrez.
Esto es lo que la IA de nivel Mythos significa para la infraestructura bancaria heredada:
- 🔓 Omisiones de autenticación no descubiertas — los sistemas de inicio de sesión antiguos pueden tener fallos lógicos invisibles para los revisores humanos
- 💸 Vulnerabilidades de manipulación de transacciones — sutiles desbordamientos de enteros en el código de cálculo financiero
- 🌐 Debilidades a nivel de red — implementaciones de TCP/IP envejecidas con condiciones no parcheadas
- 🔐 Fallos en bibliotecas de criptografía — el modelo identificó debilidades en bibliotecas de criptografía de uso común que cubren TLS, AES-GCM y SSH Help Net Security
- 🗄️ Vías de inyección de bases de datos — problemas lógicos latentes de SQL en manejadores de consultas heredados sin tocar
Para quienes operan en la infraestructura financiera, la aparición de un modelo de IA capaz de descubrir y explotar de forma autónoma vulnerabilidades de software representa un cambio existencial en el entorno de amenazas. The Agent Times
💻 Sistemas Operativos y Navegadores: Décadas de Errores Expuestos
El alcance de lo que Mythos Preview descubrió en sistemas operativos y navegadores web convencionales es impresionante. Estas son plataformas utilizadas por miles de millones de personas, revisadas por miles de ingenieros expertos y sometidas a años de pruebas de seguridad automatizadas. Y sin embargo:
🔵 OpenBSD — Mythos Preview identificó una vulnerabilidad de denegación de servicio de 27 años en la implementación TCP SACK de OpenBSD, una condición de desbordamiento de enteros que permite a un atacante remoto bloquear cualquier host OpenBSD que responda a través de TCP. El modelo la encontró en aproximadamente 1.000 ejecuciones de andamiaje con un costo total inferior a $20,000. Help Net Security
🟠 FFmpeg — Se descubrió una vulnerabilidad de 16 años en el códec H.264 de FFmpeg, introducida en un commit de 2003 y expuesta por una refactorización de 2010, pasada por alto desde entonces por todos los fuzzers y revisores humanos que habían examinado el código. Help Net Security
🔴 FreeBSD — Mythos Preview identificó y explotó de forma totalmente autónoma una vulnerabilidad de ejecución remota de código de 17 años en FreeBSD que permite a cualquiera obtener acceso root en una máquina que ejecuta NFS, clasificada como CVE-2026-4747, comenzando desde un usuario no autenticado en cualquier lugar de Internet. Anthropic
🟣 Navegadores Web — En un caso, Mythos Preview escribió un exploit de navegador web que encadenó cuatro vulnerabilidades, creando un complejo JIT heap spray que escapó de las sandboxes del renderizador y del sistema operativo. Anthropic
🟢 Linux — El modelo obtuvo de forma autónoma exploits de escalada de privilegios local en Linux y otros sistemas operativos al explotar sutiles condiciones de carrera y bypasses de KASLR.
La brecha de rendimiento frente a modelos anteriores es discordante. Cuando los investigadores ejecutaron tanto Mythos Preview como Opus 4.6 contra las mismas vulnerabilidades del motor JavaScript de Firefox 147, Opus 4.6 produjo exploits de shell funcionales en solo dos ocasiones de varios cientos de intentos. Mythos Preview tuvo éxito 181 veces en la misma prueba, con 29 ejecuciones adicionales logrando control de registros. Help Net Security
⚠️ La Amenaza a la Infraestructura Crítica
Más allá de la banca y el software de consumo, las capacidades de Mythos Preview representan una amenaza directa para la infraestructura crítica: redes eléctricas, sistemas de tratamiento de agua, control del tráfico aéreo, redes hospitalarias y telecomunicaciones.
Muchas fallas en el software pasan desapercibidas durante años porque encontrarlas y explotarlas ha requerido experiencia que solo poseen unos pocos expertos en seguridad cualificados. Con los últimos modelos de IA de vanguardia, el costo, el esfuerzo y el nivel de experiencia necesarios para encontrar y explotar vulnerabilidades de software se han reducido drásticamente. Anthropic
Lo que antes requería un presupuesto de estado-nación y un equipo de hackers de élite, ahora, teóricamente, puede ser replicado por cualquiera con acceso a un modelo similar. Como se señaló en un análisis: esta es la democratización de la seguridad ofensiva —no en el sentido de que todos ahora puedan escribir exploits, sino en el sentido de que ya no se necesita un equipo especializado de expertos en seguridad para encontrar y armar vulnerabilidades. Se necesita una tarjeta de crédito y una clave API. Medium
El modelo de amenaza ha cambiado fundamentalmente:
- 🏭 Sistemas de control industrial — redes SCADA y OT con firmware de décadas de antigüedad
- 🏥 Infraestructura sanitaria — dispositivos médicos que ejecutan versiones de sistemas operativos integrados heredados
- ⚡ Gestión de redes eléctricas — sistemas de supervisión con pilas de red envejecidas
- ✈️ Redes de transporte — software de gestión de aviación y ferrocarril
- 📡 Columna vertebral de telecomunicaciones — vulnerabilidades del protocolo SS7 a escala
🛡️ Proyecto Glasswing: La Coalición Defensiva
Reconociendo tanto el poder como el peligro de lo que había construido, Anthropic tomó una decisión extraordinaria: en lugar de simplemente lanzar Mythos Preview al mundo, sin importar las consecuencias, el laboratorio reunió a actores clave de las industrias de software y hardware para utilizar la capacidad de búsqueda de errores de Mythos para parchear proactivamente las vulnerabilidades que expone antes de que los adversarios puedan explotarlas. VentureBeat
Esta iniciativa se llama Proyecto Glasswing, y sus socios fundadores son un quién es quién de la tecnología global:
- ☁️ Amazon Web Services
- 🍎 Apple
- 📡 Broadcom
- 🌐 Cisco
- 🦅 CrowdStrike
- 🏦 JPMorgan Chase
- 🐧 The Linux Foundation
- 🪟 Microsoft
- 🟢 NVIDIA
- 🛡️ Palo Alto Networks
Anthropic dice que también ha extendido el acceso a más de 40 organizaciones adicionales que construyen o mantienen software crítico, y está comprometiendo hasta $100 millones en créditos de uso para Claude Mythos Preview en todo el esfuerzo, junto con $4 millones en donaciones directas a organizaciones de seguridad de código abierto. VentureBeat
Los términos de participación son estrictos: Mythos Preview no está, y no estará, disponible públicamente. 'No planeamos hacer que Claude Mythos Preview esté disponible de forma general debido a sus capacidades de ciberseguridad', dijo Newton Cheng, Líder de Ciberseguridad del Equipo Rojo de Vanguardia en Anthropic. VentureBeat
📊 Los Números Que Definen la Amenaza
Seamos precisos sobre la escala de lo que ha sucedido:
- 🔢 Miles de vulnerabilidades de día cero descubiertas en semanas
- 📅 27 años — edad de la vulnerabilidad más antigua encontrada (OpenBSD)
- 💰 $20,000 — costo total para descubrir una falla crítica de SO de 27 años
- ⏳ Más de 10 horas — tiempo que le tomaría a un experto humano completar lo que Mythos hace en minutos
- 📈 83.1% — puntuación de Mythos Preview en el benchmark de evaluación CyberGym, en comparación con el 66.6% de Claude Opus 4.6 VentureBeat
- 🎯 93.9% — puntuación en SWE-bench Verified, frente al 80.8% de Opus 4.6
- 🚀 181 veces — más intentos de exploit exitosos que su predecesor en la misma prueba de Firefox
- 💵 $100M — compromiso de Anthropic en créditos de IA para los socios del Proyecto Glasswing
🔬 Cómo Mythos Preview Encuentra Vulnerabilidades Realmente
La metodología que utiliza Mythos para la caza de vulnerabilidades es a la vez elegante y aterradora en su eficiencia:
- 📂 Ingesta de bases de código — el modelo lee repositorios completos, incluidos binarios de código cerrado
- 🎯 Priorización de riesgos — clasifica archivos por probabilidad de vulnerabilidad (analizadores de red, manejadores de autenticación primero)
- 🔍 Reconocimiento de patrones — identifica fallos lógicos sutiles, condiciones de carrera, desbordamientos de enteros
- 🛠️ Construcción de exploits — construye automáticamente exploits de prueba de concepto funcionales
- 🔗 Encadenamiento de vulnerabilidades — combina múltiples fallos en cadenas de ataque de alta gravedad
- ✅ Validación — prueba exploits contra objetivos en vivo o en sandbox para confirmar la gravedad
El proceso de prueba es sorprendentemente simple en concepto: el mismo bucle agéntico que potencia Claude Code funciona para la investigación de seguridad — solo necesitaba un mejor modelo. Medium
Lo que no tiene precedentes es el paso 5 — el encadenamiento. Cualquier pentester hábil puede encontrar fallos individuales. Lo que separa a los hackers de élite de los estados-nación de todos los demás es la capacidad de encadenar vulnerabilidades — de convertir una divulgación de información de baja gravedad en una toma de control completa del sistema a nivel de root. Mythos ahora hace esto de forma autónoma.
⚖️ La Cuerda Floja Ética: Divulgación vs. Peligro
El desafío de la divulgación responsable que plantea Mythos no se parece a nada que la comunidad de seguridad haya enfrentado. Más del 99% de las vulnerabilidades encontradas aún no han sido parcheadas, por lo que sería irresponsable divulgar detalles sobre ellas según el proceso de divulgación coordinada de vulnerabilidades. Anthropic
El enfoque de Anthropic es novedoso: para las vulnerabilidades que aún no se pueden divulgar, están publicando hashes criptográficos de los detalles del exploit —esencialmente marcando el descubrimiento sin revelarlo— y comprometiéndose a la divulgación completa una vez que los parches estén en su lugar.
Pero incluso esto crea tensión:
- ⏳ Desajuste de velocidad — la IA descubre fallos en horas; el parcheo lleva meses
- 👥 Carga de voluntarios — inundar a los mantenedores de código abierto, muchos de los cuales son voluntarios no remunerados, con una avalancha de informes de errores críticos podría hacer más daño que bien VentureBeat
- 🌍 Coordinación global — diferentes países, diferentes marcos legales, diferentes plazos
- 🏢 Responsabilidad corporativa — ¿cuándo el conocimiento de una falla y no parchearla se convierte en negligencia?
🧱 Qué Deben Hacer las Organizaciones Ahora Mismo
La aparición de capacidades de IA de nivel Mythos exige una respuesta inmediata de todas las organizaciones que ejecutan software crítico. Los expertos en seguridad recomiendan:
Acciones inmediatas (0-30 días):
- 🔄 Habilitar actualizaciones de seguridad automáticas en todos los sistemas
- 🚨 Tratar cada actualización de dependencia etiquetada como CVE como urgente
- 📋 Auditar bases de código heredadas en busca de componentes no mantenidos
- 🛑 Revisar y endurecer los flujos de autenticación en todos los servicios expuestos externamente
Acciones a corto plazo (30-90 días):
- 🤖 Comenzar a implementar herramientas de escaneo de seguridad asistidas por IA
- 📜 Revisar las políticas de divulgación de vulnerabilidades para la era de la IA
- 🏋️ Ejecutar ejercicios de equipo rojo contra la infraestructura heredada
- 📱 Invertir en pipelines automatizados de respuesta a incidentes
Acciones estratégicas (90+ días):
- 🏗️ Comenzar la modernización sistemática de bases de código heredadas
- 🌐 Participar en el Proyecto Glasswing o programas de divulgación equivalentes
- 🎓 Capacitar a los equipos de desarrollo en modelado de amenazas de la era de la IA
- 🔐 Implementar arquitectura de confianza cero en todos los caminos críticos
🌅 El Camino por Delante: ¿Defensa o Desastre?
'Las capacidades de la IA han cruzado un umbral que cambia fundamentalmente la urgencia requerida para proteger la infraestructura crítica de las amenazas cibernéticas, y no hay vuelta atrás'. Anthropic
La visión optimista es que Mythos Preview representa el comienzo de una nueva era dorada de seguridad defensiva —donde la IA elimina sistemáticamente el legado de décadas de deuda técnica acumulada, encontrando y corrigiendo errores más rápido de lo que los atacantes humanos pueden explotarlos.
A largo plazo, una vez que las capacidades se generalicen y el panorama de la seguridad alcance el equilibrio, la IA beneficiará más a los defensores que a los atacantes. Los defensores pueden ejecutar escaneos de seguridad automatizados las 24 horas del día, los 7 días de la semana. Los atacantes solo necesitan encontrar una brecha. La ventaja se traslada a la defensa cuando la ofensiva se vuelve una mercancía. Medium
La visión pesimista es que estamos en un período de transición peligroso —una ventana durante la cual capacidades similares se generalizarán a actores que no están comprometidos con el despliegue responsable, y la ventana entre el descubrimiento y la explotación de vulnerabilidades colapsará de meses a minutos.
'La ventana entre que una vulnerabilidad sea descubierta y explotada por un adversario se ha colapsado —lo que antes tomaba meses ahora sucede en minutos con IA. Claude Mythos Preview demuestra lo que ahora es posible para los defensores a escala, y los adversarios inevitablemente buscarán explotar las mismas capacidades. Eso no es una razón para reducir la velocidad; es una razón para avanzar juntos, más rápido'. Anthropic
La carrera ha comenzado. La única pregunta es quién cruza la línea de meta primero: ¿los defensores armados con Mythos, o los adversarios que construyen el próximo?