La inteligencia artificial está transformando rápidamente la ciberseguridad. Las mismas herramientas que pueden ayudar a las empresas a encontrar vulnerabilidades y proteger sus sistemas también pueden ser utilizadas por hackers para descubrir fallos, crear exploits y atacar infraestructuras digitales.
El caso de **Mythos**, un modelo de inteligencia artificial desarrollado por Anthropic, muestra hasta qué punto puede llegar esta nueva generación de sistemas.
La compañía afirma que sus capacidades para encontrar vulnerabilidades en programas y sistemas informáticos son tan avanzadas que no considera seguro ponerlo a disposición del público general. En su lugar, ha limitado el acceso a un pequeño grupo de organizaciones asociadas.
El dilema es evidente: ¿Cómo aprovechar una IA capaz de mejorar radicalmente la defensa informática sin crear al mismo tiempo una herramienta extremadamente poderosa para los atacantes?
## ¿Qué es Mythos?
Claude Mythos es un modelo de inteligencia artificial de propósito general que Anthropic presenta como especialmente avanzado en tareas de programación y razonamiento.
Una de sus características más preocupantes desde el punto de vista de la seguridad es su capacidad para encontrar vulnerabilidades en software.
Según Anthropic, durante sus pruebas Mythos Preview identificó miles de vulnerabilidades conocidas como **zero-day**, incluidos fallos en los principales sistemas operativos y navegadores.
Los zero-day son vulnerabilidades que todavía no han sido descubiertas por los desarrolladores del software. El término hace referencia a que los responsables tienen prácticamente cero días para desarrollar un parche antes de que el fallo pueda ser explotado.
Para los ciberdelincuentes, este tipo de vulnerabilidades puede tener un enorme valor. Un fallo desconocido puede proporcionar acceso a sistemas que todavía no cuentan con ninguna protección específica.
## Una IA capaz de encontrar fallos que escaparon a los humanos
Lo que diferencia a Mythos de generaciones anteriores de herramientas de seguridad es el grado de automatización.
Anthropic afirma que algunas de las vulnerabilidades encontradas por el modelo habían sobrevivido durante décadas a revisiones humanas y a millones de pruebas automatizadas. En uno de los casos mencionados por la compañía, Mythos encontró una vulnerabilidad de **27 años de antigüedad** en OpenBSD, un sistema operativo conocido por sus elevados estándares de seguridad.
El modelo también habría sido capaz de encadenar varias vulnerabilidades conocidas del kernel de Linux para conseguir el control completo de una máquina.
Incluso usuarios sin conocimientos avanzados de ciberseguridad pudieron pedir al sistema que buscara métodos para controlar remotamente ordenadores y encontrarse posteriormente con exploits funcionales, según Anthropic.
Ese nivel de automatización cambia radicalmente el equilibrio entre atacantes y defensores.
## El problema de que la herramienta caiga en malas manos
Anthropic considera que un sistema de estas características podría ser especialmente peligroso si llegara a manos de grupos de ransomware, organizaciones criminales o gobiernos hostiles.
Un atacante ya no necesitaría necesariamente contar con un gran equipo de expertos para descubrir vulnerabilidades complejas. Una IA podría automatizar buena parte del proceso y permitir que actores con menos conocimientos técnicos realizaran ataques mucho más sofisticados.
Por ese motivo, Anthropic decidió no publicar Mythos de forma generalizada.
En abril creó **Project Glasswing**, un programa destinado a proporcionar acceso limitado a organizaciones cuidadosamente seleccionadas. Entre los participantes se encuentran grandes compañías tecnológicas y de ciberseguridad como Amazon, Apple, Google, Microsoft, Nvidia, Palo Alto Networks y CrowdStrike, además de la Linux Foundation.
El objetivo es utilizar las capacidades del modelo principalmente con fines defensivos: encontrar vulnerabilidades antes de que puedan ser aprovechadas por los atacantes.
Posteriormente, Anthropic amplió el programa a unas 200 organizaciones, aunque el acceso continuó siendo restringido.
## El gobierno de Estados Unidos interviene
La historia de Mythos también se convirtió en un conflicto entre la empresa y el Gobierno estadounidense.
En junio de 2026, la administración Trump ordenó a Anthropic restringir el acceso de ciudadanos extranjeros a sus modelos más avanzados. La compañía decidió entonces cortar el acceso a Mythos 5 y Fable 5 para todos sus clientes con el objetivo de cumplir la orden.
Días después, el Departamento de Comercio permitió restaurar el acceso a Mythos para determinados socios considerados de confianza. Posteriormente, las restricciones sobre ambos modelos fueron retiradas.
El episodio demuestra que los gobiernos empiezan a considerar algunos modelos avanzados de IA como tecnologías con implicaciones estratégicas y de seguridad nacional.
## La IA también puede convertirse en un arma para los hackers
Mythos no es el único sistema capaz de utilizar inteligencia artificial para analizar vulnerabilidades.
OpenAI ha desarrollado Codex Security y Google cuenta con su agente Big Sleep para encontrar fallos de seguridad. Al mismo tiempo, investigadores de la startup israelí Buzz afirman haber desarrollado una herramienta autónoma formada por cinco agentes de IA con una tasa de éxito del 98% a la hora de explotar vulnerabilidades conocidas.
Esto significa que la automatización de los ataques no depende de una única empresa.
La tecnología necesaria para construir herramientas de este tipo también parece estar volviéndose más accesible. El CEO de Buzz afirmó que seis ingenieros tardaron únicamente tres semanas en construir su herramienta de hacking basada en IA y advirtió que otros grupos, incluidos ciberdelincuentes y servicios de inteligencia estatales, podrían hacer algo similar.
## El gran problema: la velocidad
La principal amenaza quizá no sea únicamente que la IA consiga encontrar más vulnerabilidades, sino que pueda hacerlo mucho más rápido.
Cuando un fallo es descubierto y divulgado públicamente, los fabricantes suelen trabajar para desarrollar un parche. Pero los atacantes también pueden analizar rápidamente esa información y buscar maneras de explotar el problema antes de que las empresas hayan actualizado sus sistemas.
Anthropic señala precisamente este desequilibrio: mientras los defensores pueden tardar tiempo en corregir las vulnerabilidades descubiertas por Mythos, los hackers ya están utilizando IA para acelerar el proceso de búsqueda y explotación de fallos conocidos.
En otras palabras, la ventana de tiempo disponible para proteger un sistema podría reducirse cada vez más.
## ¿Puede la IA terminar beneficiando a los defensores?
Anthropic sostiene que, a largo plazo, las herramientas de IA podrían acabar inclinando la balanza a favor de los defensores.
Si una IA puede encontrar miles de vulnerabilidades antes de que sean descubiertas por los criminales, las empresas podrían corregirlas, reforzar sus sistemas y desarrollar software más seguro.
Pero la propia compañía reconoce que el periodo de transición será complicado.
El problema es que las capacidades ofensivas pueden propagarse con rapidez. Una herramienta utilizada inicialmente por investigadores de seguridad podría terminar siendo replicada o adaptada por delincuentes y grupos estatales.
Por eso, la carrera de la IA aplicada a la ciberseguridad no consiste simplemente en crear sistemas cada vez más inteligentes. También implica decidir **quién puede utilizarlos, con qué límites y qué medidas deben existir para evitar que sus capacidades se conviertan en armas contra el resto de Internet**.
## Un nuevo frente en la carrera armamentística digital
El caso Mythos representa un cambio importante en la relación entre inteligencia artificial y ciberseguridad.
Hasta ahora, la IA se había presentado principalmente como una herramienta para ayudar a los profesionales a detectar amenazas, analizar grandes cantidades de información y responder a incidentes. Los nuevos modelos, sin embargo, empiezan a demostrar capacidades mucho más autónomas.
Pueden buscar vulnerabilidades, analizar código, encadenar fallos y, en determinadas circunstancias, desarrollar métodos de explotación con una intervención humana mucho menor.
Esto abre una nueva etapa de la carrera entre atacantes y defensores.
Si las empresas consiguen utilizar estas herramientas para detectar y corregir vulnerabilidades antes de que sean explotadas, la seguridad global podría mejorar. Pero si los atacantes consiguen aprovechar la misma tecnología con mayor rapidez, el resultado podría ser un aumento de los ataques contra empresas, gobiernos e infraestructuras críticas.
La gran incógnita es quién avanzará más rápido.
**La IA puede convertirse en uno de los mayores avances de la historia de la ciberseguridad, pero también en una de sus mayores amenazas. El caso Mythos demuestra que esa frontera ya no pertenece al futuro: está empezando a definirse ahora.**
