Claude Mythos:
los números
que nadie esperaba
Un bug de 27 años sin detectar. Miles de zero-days en cada sistema operativo y navegador del planeta. Un exploit de cuatro vulnerabilidades encadenadas que un equipo humano habría tardado semanas en construir. Esto es lo que la IA de Anthropic hizo en tres semanas.
Este artículo es la segunda parte de nuestra cobertura sobre Project Glasswing, la iniciativa de Anthropic para usar IA en la defensa del software crítico. Si no has leído el primero, te recomendamos empezar por ahí para entender el contexto.
Cuando Anthropic anunció Project Glasswing el 7 de abril, la pregunta era inevitable: ¿de verdad es tan potente, o es marketing de laboratorio? Tres semanas después, los datos técnicos publicados por el equipo de Red Team de Anthropic y validados de forma independiente por el AI Security Institute del Reino Unido (AISI) responden esa pregunta con una claridad incómoda.
Claude Mythos Preview no es una mejora incremental. Es un salto de categoría. Y los números lo demuestran caso a caso.
Los hallazgos que cambian el debate
Anthropic puso a Mythos a analizar los sistemas más auditados y revisados del mundo: todos los grandes sistemas operativos, todos los navegadores principales, componentes de infraestructura crítica. El método era simple y brutal: «Encuentra vulnerabilidades en este programa.» Sin pistas. Sin contexto adicional. Solo código y autonomía.
Lo que encontró en tres semanas no debería ser posible a esa velocidad:
OpenBSD · TCP SACK
Una vulnerabilidad en la pila de red que permitía tumbar remotamente cualquier equipo con una conexión especialmente diseñada. Las herramientas de fuzzing tradicionales la habían probado millones de veces sin encontrarla. Mythos la localizó razonando sobre la lógica del código.
FFmpeg
Un fallo en la biblioteca de vídeo más usada del mundo. Los sistemas automatizados la habían escaneado cinco millones de veces sin resultado. Mythos no buscaba patrones conocidos: buscaba lógica rota.
FreeBSD NFS · RCE
Una vulnerabilidad de ejecución remota de código en el sistema de archivos en red de FreeBSD. Mythos no solo la encontró: escribió de forma autónoma un exploit funcional para explotarla.
Kernel Linux · Escalada
Mythos identificó y encadenó cuatro vulnerabilidades del kernel de Linux para lograr una escalada completa de privilegios: de usuario normal a root. Un ataque así habría requerido semanas de trabajo de un equipo especializado.
Los benchmarks que saturó y los que no
El AISI evaluó a Mythos de forma independiente y sus conclusiones son reveladoras. Los benchmarks de ciberseguridad existentes ya no sirven para medir a este modelo: los ha saturado.
| Benchmark | Mythos Preview | Claude Opus 4.6 | Diferencia |
|---|---|---|---|
| CyberGym (vulnerabilidades) | +16,5 pp | ||
| SWE-bench Verified | +13,1 pp | ||
| CTF experto (AISI) | +28 pp | ||
| Exploits funcionales (zero-day) | Salto generacional | ||
| USAMO (razonamiento matemático) | +37 pp |
Por qué no está disponible para nadie más
La decisión de Anthropic de no lanzar Mythos al público general es, en el contexto de la industria, inusual. Los laboratorios suelen correr para publicar. Aquí ocurrió lo contrario: construyeron un modelo que demostrablemente supera a casi todos los humanos en la búsqueda de vulnerabilidades, y decidieron no ponerlo al alcance de nadie sin verificación.
La razón es tan sencilla como incómoda: la misma capacidad que permite encontrar y parchear vulnerabilidades permite encontrarlas y explotarlas. No hay interruptor que separe ambos usos. La única palanca disponible es el control de acceso.
«No planeamos hacer Mythos Preview disponible de forma general debido a sus capacidades de ciberseguridad»
— Anthropic, comunicado oficial · 7 de abril de 2026
La coalición y el modelo de gobernanza
Project Glasswing opera con tres niveles de acceso, cada uno con requisitos de verificación distintos:
12 socios fundadores con acceso directo: Apple, Amazon (AWS), Google, Microsoft, Cisco, CrowdStrike, NVIDIA, JPMorganChase, Palo Alto Networks, la Linux Foundation y otros. Acceso a Mythos Preview para auditoría defensiva de sus sistemas críticos.
40 organizaciones adicionales en despliegue supervisado: acceso a través de las plataformas cloud de los socios (Vertex AI, Amazon Bedrock, Microsoft Foundry) bajo controles reforzados: cifrado gestionado por el cliente, aislamiento de red VPC, logs de auditoría obligatorios.
Cyber Verification Program: ruta de solicitud para profesionales de seguridad verificados. Activo en claude.com/form/cyber-use-case. Requiere validación de identidad profesional y casos de uso estrictamente defensivos.
Lo que esto significa para los próximos 18 meses
La pregunta que nadie puede evitar es cuánto tiempo dura esta ventana de ventaja. Anthropic calcula que capacidades similares a las de Mythos estarán «ampliamente disponibles» en un plazo de 18 meses — presumiblemente en manos de actores que no tendrán ningún incentivo para usarlas de forma responsable.
El patrón ya ha empezado. Claude Opus 4.7, lanzado el 16 de abril de 2026, es el primer modelo post-Glasswing de Anthropic e incorpora salvaguardas de ciberseguridad en tiempo real. La arquitectura que Mythos puso a prueba empieza a filtrarse, de forma controlada, hacia los modelos de uso general.
La consecuencia más profunda de Mythos no es la lista de bugs encontrados. Es que ha demostrado que la detección de vulnerabilidades puede ser abundante, rápida y barata. Lo que deja de ser el diferenciador es encontrar el fallo. Lo que pasa a serlo es la velocidad de respuesta, la arquitectura de parcheo y la capacidad institucional de actuar antes de que otros también lo encuentren.
Hace dos décadas, encontrar una vulnerabilidad crítica en el kernel de Linux requería meses de trabajo de los mejores expertos del planeta. Mythos lo hace en minutos. La carrera no ha terminado. Acaba de cambiar de velocidad.
Más artículos
