Claude Mythos halla más de 10.000 vulnerabilidades graves
Anthropic acaba de dar un gran golpe, pero esta vez no se trata solo de lanzar un modelo nuevo.
El 7 de abril se alió con una lista de empresas que jamás imaginarías ver en la misma mesa —AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, la Fundación Linux, Microsoft, NVIDIA, Palo Alto Networks— para anunciar una alianza de seguridad llamada Project Glasswing . Su misión es una sola: usar la IA para resolver los problemas de seguridad del software más crítico del planeta.
El mismo día, Anthropic desveló otra noticia de peso: con los modelos Claude han hecho un escaneo de seguridad a gran escala de bases de código corporativas y han encontrado más de 10.000 vulnerabilidades graves.
Las dos noticias juntas han hecho explotar al mundo de la seguridad.
Cómo se destaparon más de diez mil vulnerabilidades graves
Hay que empezar por la investigación de seguridad en IA de Anthropic.
Claude Mythos es un modelo especializado en seguridad que Anthropic lleva tiempo puliendo internamente. A diferencia del Claude normal, está optimizado para ingeniería inversa de código, descubrimiento de vulnerabilidades y pentesting, y es capaz de localizar automáticamente puntos de fallo reales en bases de código enormes.
Antes de arrancar el proyecto Glasswing, el equipo de Anthropic usó Claude Mythos para hacer una «prueba de esfuerzo» a un lote de bases de código corporativas. El resultado eriza la piel: más de 10.000 vulnerabilidades graves, que abarcan desde elusión de autenticación y corrupción de memoria hasta ataques a la cadena de suministro.
Estas vulnerabilidades no las encontró un escáner tradicional ni un ingeniero de seguridad a mano: las sacó automáticamente un modelo de IA.
Compara con el método clásico: una auditoría completa de código corporativo por un equipo profesional suele llevar meses y cuesta cientos de miles de dólares. Claude Mythos comprime ese tiempo a días, o menos, sobre bases de código del mismo tamaño.
Esa es la diferencia de escala de las herramientas de investigación en seguridad con IA.
¿Cómo de brutal es Claude Mythos?
El titular del New York Times del 7 de abril lo decía en una sola frase:"Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning"Dicho claro: el modelo es tan potente que el propio Anthropic consideró que no debía publicarse abiertamente.
La BBC publicó después un artículo de seguimiento titulado:"What is Anthropic's Claude Mythos and what risks does it pose?"
Cruzando la información disponible, las capacidades núcleo de Claude Mythos se concentran en tres direcciones:
– Comprensión e ingeniería inversa de código: entiende la estructura de bases de código corporativas complejas y localiza sus defectos de seguridad
– Evaluación de explotabilidad: no solo encuentra fallos, sino que determina si podrían explotarse en un escenario de ataque real
– Escaneo automatizado a gran escala: se ejecuta sobre la base de código entera de una vez, sin revisión manual paso a paso
¿Qué implica esa combinación de capacidades?
Que el trabajo de tres meses de un equipo de seguridad ahora la IA puede terminarlo en pocos días. Y la IA no se cansa, no se salta puntos y no le arredra la complejidad del código.
Project Glasswing: de dónde sale esta alianza de seguridad con IA
Con capacidad de IA no basta: Anthropic ha reunido a 13 gigantes tecnológicos para lanzar Project Glasswing.
La lista, por sí sola, merece un análisis fino:
– Proveedores de nube: AWS y Microsoft Azure
– Empresas de seguridad: CrowdStrike y Palo Alto Networks
– Chips y hardware: Broadcom y NVIDIA
– Clientes corporativos: JPMorgan
– Infraestructura open source: la Fundación Linux
– Sistemas operativos: Apple
– Equipos de red: Cisco
– Empresas de IA: Anthropic y Google
¿Qué significa esta mezcla? Que no van a quedarse en la teoría: pretenden aterrizar la seguridad con IA en toda la cadena, desde la capa de chips y la del sistema operativo hasta la nube y las aplicaciones.
El plan núcleo de Glasswing incluye:
– Establecer un estándar de evaluación de seguridad de código impulsado por IA
– Impulsar auditorías de seguridad del software open source crítico
– Compartir inteligencia sobre vulnerabilidades graves descubiertas por IA
– Dar protección con IA a las infraestructuras críticas del planeta
Dicho sin rodeos: quieren montar la «alianza de ciberseguridad» de la era de la IA y usar la IA para contrarrestar los riesgos que la propia IA trae.
El verdadero problema detrás de diez mil vulnerabilidades
Encontrar diez mil vulnerabilidades no es noticia en sí: en el mundillo se descubren fallos todos los días.
Lo alarmante de verdad es lo que ese número significa.
Primero, el orden de magnitud supera lo esperado.
Todos sabíamos que las bases de código corporativas tenían fallos, pero ¿qué dice una cifra de «más de 10.000 graves»? Que los controles de seguridad de los procesos de desarrollo actuales no dan abasto. Escribes el código, pasas el escáner, aprueba... y se cuela lo que tenía que colarse. La entrada de la IA ha expuesto el problema hasta el fondo.
Segundo, la distribución de las vulnerabilidades también dice cosas.
Anthropic no ha publicado qué tipos de fallo predominan, pero por la composición de los participantes de Glasswing se puede intuir: vulnerabilidades de cadena de suministro (está la Fundación Linux), de autenticación (están la nube y las empresas) y de infraestructura (están los fabricantes de chips y sistemas operativos) deberían ser los frentes principales.
Tercero: «descubrir» no es «arreglar».
Encontrar el fallo es solo el primer paso. Más de diez mil vulnerabilidades graves, ¿quién las corrige y en cuánto tiempo? Muchas llevan cinco o diez años en las bases de código corporativas, y arreglar una exige no romper lo que ya funciona.
El arma de doble filo de las herramientas de seguridad con IA
Y aquí toca decir algo: si Claude Mythos sirve para cazar vulnerabilidades, también significa que otros pueden usar IA parecida con el mismo fin.
Anthropic ha decidido no publicar Claude Mythos abiertamente porque es «demasiado peligroso». Es la misma línea que siguió en la era de Claude Opus 4: primero evaluar el riesgo, luego decidir cuánto abrir.
La pregunta es:
– ¿Sacarán otras compañías modelos similares o incluso más potentes?
– ¿Y si esos modelos acaban en manos de atacantes?
– ¿Llegarán las empresas a parchear sus fallos con IA antes de que los ataque alguien?
Glasswing es, en cierto modo, la respuesta a esa pregunta:más que dejar la capacidad de seguridad con IA concentrada en unas pocas empresas, conviene unir a toda la industria para levantar una barrera defensiva. Si el atacante tiene IA, el defensor también debe tenerla, y más rápida, más precisa y más sistemática.
Cómo debería mirar esto un desarrollador normal
Si eres desarrollador o ingeniero de seguridad, esto tiene varias lecturas:
A corto plazo: el mecanismo de intercambio de vulnerabilidades de Glasswing cubrirá primero proyectos open source críticos e infraestructura. Para tu propia línea de producto aún no cabe esperar nada; sí conviene seguir los estándares técnicos y los métodos de clasificación que vayan publicando.
A medio plazo: los modelos de seguridad especializados como Claude Mythos entrarán poco a poco en las cadenas de herramientas de seguridad corporativas. No es descabellado ver capacidades similares integradas en futuros plugins de IDE y flujos de escaneo en CI/CD. Conocer la dirección con antelación nunca sobra.
A largo plazo: la carrera armamentística entre investigación de seguridad con IA e investigación de ataque con IA solo se va a recrudecer. La IA del bando defensivo mejora, y la del ofensivo evoluciona al mismo ritmo. La creación de Glasswing demuestra que los gigantes ya lo tratan como cuestión estratégica.
Por qué este momento es tan importante
En 2026, los AI Agents empiezan a engancharse en masa a los flujos de trabajo corporativos: de la generación de código al tratamiento de datos, de los sistemas internos a la atención al cliente. Modelos como Claude y GPT ya penetran el núcleo del negocio.
Cuando la IA empieza a manejar datos sensibles, a escribir código crítico y a conectar con sistemas de producción, las vulnerabilidades de la propia IA y las que descubre la IA pasan a ser dos caras de la misma moneda.
Glasswing y esas diez mil vulnerabilidades son la piedra que Anthropic ha lanzado al agua: quiere que toda la industria entienda que la seguridad de la IA no es un problema técnico, es un problema de ecosistema.
Una empresa sola no puede resolverlo; hace falta toda la industria junta.
Por eso Apple, Microsoft y Google, que normalmente se llevan regular, pueden sentarse a la misma mesa.
Para terminar
Diez mil vulnerabilidades graves no son un número para sembrar ansiedad.
Es Anthropic que ha hecho con la IA un «chequeo médico» a gran escala y ha publicado los resultados al mundo. El informe ya está sobre la mesa; la cuestión es qué piensas hacer al respecto.
¿Esperas a que aterricen los estándares de Glasswing o empiezas ya a escanear tu base de código con herramientas de IA?
Esa decisión es tuya.