Durante décadas, la ciberseguridad ha funcionado como una carrera armamentística: los investigadores buscan fallos en el software, los publican, los fabricantes parchean y los atacantes aprovechan la ventana entre una cosa y la otra. Ese ciclo, lento y reactivo, podría estar a punto de cambiar. Anthropic acaba de presentar Project Glasswing, una iniciativa diseñada para poner la inteligencia artificial al servicio de la defensa digital, y el anuncio ha levantado tanto expectación como preguntas incómodas.

Qué es exactamente Project Glasswing

Glasswing es un proyecto de ciberseguridad ofensiva-defensiva liderado por Anthropic que usa su modelo Claude Mythos Preview para detectar vulnerabilidades en software crítico antes de que sean explotadas. La idea central es sencilla: si una IA puede analizar millones de líneas de código en horas, puede encontrar antes que cualquier humano los fallos que sostienen Internet, la banca, la nube o los sistemas de salud.

La iniciativa nace con una coalición de grandes socios tecnológicos —Apple, Google, Microsoft y Cisco entre ellos— y su foco está en la infraestructura crítica: el tipo de software que, si falla o es comprometido, puede afectar a millones de personas.

Por qué ahora y por qué importa

La ciberseguridad tradicional tiene un problema de escala. Los equipos de seguridad humanos no pueden revisar manualmente todo el código que producen las empresas modernas. Las herramientas de análisis estático ayudan, pero tienen limitaciones: no entienden el contexto, no razonan sobre el flujo de datos como lo haría un atacante, y no aprenden de los patrones que emergen en ataques reales.

Los grandes modelos de lenguaje, en cambio, pueden analizar código con un nivel de comprensión contextual que se acerca mucho más al de un experto humano. Y si se especializan en seguridad, pueden hacerlo a una velocidad y escala que ningún equipo humano puede igualar. Esto es exactamente lo que Glasswing quiere aprovechar: no reemplazar a los analistas de seguridad, sino darles una herramienta que detecte lo que a ellos se les escapa —o que llevaría meses encontrar a mano— de forma sistemática y reproducible.

La pregunta que nadie puede ignorar

Aquí aparece la tensión central del proyecto. Una IA capaz de encontrar vulnerabilidades de forma automatizada y a gran escala no es solo una herramienta defensiva: también podría serlo ofensiva. Un modelo que detecta fallos en software crítico podría, en principio, usarlos para explotarlos.

Anthropic es consciente de ello, y por eso Mythos Preview no está disponible públicamente. El acceso está limitado a organizaciones que han pasado un proceso de vetting, los casos de uso están definidos de forma estricta y todo el sistema opera bajo supervisión. Pero la pregunta sigue ahí: a medida que estos modelos se vuelven más capaces, ¿cómo se garantiza que el acceso no se amplíe de formas que escapen al control?

No es un problema nuevo en seguridad. Las herramientas de pentesting siempre han tenido ese doble filo. La diferencia con la IA es la escala: lo que antes requería un equipo de expertos y semanas de trabajo, un modelo avanzado podría hacerlo en minutos y de forma autónoma.

Qué cambia con este modelo de gobernanza

Project Glasswing introduce algo que va más allá de la tecnología: un modelo de acceso controlado para herramientas de IA de alto riesgo. Anthropic no lanza el modelo al mercado y deja que cada empresa decida qué hacer con él. En cambio, define quién puede usarlo, para qué y bajo qué condiciones.

Este enfoque tiene precedentes en otros sectores. En biotecnología, ciertos reactivos y técnicas solo están disponibles para laboratorios certificados. En defensa, hay tecnologías cuya exportación está regulada. La IA de alto impacto parece estar empezando a moverse en esa dirección, aunque las reglas todavía están escribiéndose.

Para el sector de la ciberseguridad, el mensaje es claro: la automatización ya no es una opción futura, es el presente. Quien no integre IA en sus procesos de detección y respuesta quedará en desventaja frente a atacantes que, como es razonable asumir, ya están explorando estas capacidades.

Qué deberías vigilar a partir de ahora

Glasswing es el primer movimiento visible de lo que parece una tendencia más amplia. En los próximos meses, vale la pena seguir tres frentes:

• Si otros laboratorios de IA —OpenAI, Google DeepMind, Mistral— lanzan iniciativas similares y con qué nivel de apertura.
• Si los reguladores empiezan a exigir marcos de gobernanza para el uso de IA en ciberseguridad ofensiva.
• Cómo evolucionan los incidentes de seguridad en infraestructuras críticas en un entorno donde la IA se usa en ambos lados.