Claude Mythos Anthropic: El nuevo modelo para la investigación de vulnerabilidades

En el marco del prestigioso SANS Cybersecurity Summit, celebrado a las afueras de Washington D.C., la industria de la tecnología ha sido testigo de un punto de inflexión histórico. Anthropic, la firma de seguridad e inteligencia artificial liderada por los hermanos Amodei, ha levantado el velo sobre su proyecto más ambicioso y, a la vez, más controvertido hasta la fecha: Claude Mythos Anthropic. Durante una sesión técnica de alto nivel, Jacob Klein, Jefe de Inteligencia de Amenazas de la compañía, desglosó las capacidades de este modelo especializado que no solo promete redefinir la ciberseguridad, sino que marca el inicio de una era donde la IA actúa como un agente autónomo con capacidad de combate digital.

La revelación de Claude Mythos Anthropic ocurre en un momento crítico. Apenas semanas después de que se detectara una sofisticada inserción de código malicioso en la popular librería Axios, la comunidad de seguridad buscaba respuestas sobre la escalabilidad de estas amenazas. Mythos no es simplemente una actualización incremental; es una arquitectura diseñada específicamente para la Investigación de Vulnerabilidades a Gran Escala (LSVR, por sus siglas en inglés), capaz de procesar ecosistemas de software completos en busca de fallos que el ojo humano, y las herramientas de análisis estático tradicionales, simplemente no pueden detectar.

LSVR: El núcleo operativo de Claude Mythos Anthropic

A diferencia de los modelos de lenguaje de propósito general (LLMs) como las versiones anteriores de Claude o los modelos de la serie GPT, Claude Mythos Anthropic ha sido optimizado para la lógica de bajo nivel y la comprensión profunda de dependencias de software. Su función principal, el LSVR, le permite realizar un escaneo holístico de cadenas de suministro globales. En lugar de analizar una función de código aislada, Mythos puede “leer” la interconectividad entre miles de repositorios de código abierto y privativo.

La capacidad técnica de este modelo ha dejado perplejos a los asistentes del SANS Summit. Según el informe presentado por Klein, Mythos posee una ventana de contexto virtualmente infinita que le permite razonar sobre la arquitectura completa de un sistema operativo. Entre los hitos técnicos destacados se encuentran:

• Descubrimiento de Zero-Days: Durante sus pruebas internas, el modelo identificó una vulnerabilidad crítica en el núcleo de OpenBSD que había permanecido oculta durante 27 años, evadiendo millones de auditorías manuales y automáticas.
• Encadenamiento Autónomo (Exploit Chaining): Quizás el aspecto más disruptivo de Claude Mythos Anthropic es su habilidad para “encadenar” múltiples vulnerabilidades menores de baja severidad para crear un exploit complejo de ejecución remota de código (RCE).
• Eficiencia de Costos: Anthropic estima que el costo de descubrir una vulnerabilidad explotable utilizando Mythos es inferior a los $20,000 USD por objetivo, una fracción de lo que costaría financiar un equipo de investigadores humanos de élite durante meses.

Capacidades Técnicas y el Salto al Modelo “Copybara”

Internamente, Anthropic ha clasificado a Mythos dentro de un nuevo nivel de modelos denominado “Copybara”. Este tier supera las capacidades de razonamiento de Claude 4.6 Opus, alcanzando un impresionante 93.9% en el benchmark SWE-bench Verified. Esto significa que el modelo no solo encuentra el error, sino que escribe, prueba y despliega el parche (o el exploit) con una precisión que iguala a un ingeniero de software senior de nivel mundial.

El rendimiento en el Terminal-Bench 2.0, que mide la competencia en administración de sistemas y líneas de comando, situó a Mythos en un 82.0%, muy por encima del 65.4% de sus predecesores. Esta fluidez en entornos de terminal le otorga una capacidad de “agente activo”. En simulaciones de ataque a redes corporativas de 32 pasos, Mythos fue el primer modelo capaz de resolver el escenario de principio a fin de manera autónoma, realizando desde el reconocimiento inicial hasta el movimiento lateral y la exfiltración de datos.

Jacob Klein enfatizó que esta potencia se deriva de un entrenamiento enfocado en la “intencionalidad del código”. Mythos no solo busca patrones sintácticos; entiende qué intenta hacer el desarrollador y dónde la lógica falla en escenarios de estrés o entradas malformadas. Esta comprensión profunda es lo que le permite generar cadenas ROP (Return-Oriented Programming) de más de 20 gadgets, una tarea de ingeniería inversa extremadamente compleja para cualquier humano.

La Asimetría de la Defensa y el Caso Axios

El debate ético en el SANS Summit se centró en lo que los expertos denominan la “asimetría de la defensa”. Históricamente, el defensor debe proteger todos los puntos de entrada, mientras que el atacante solo necesita encontrar uno. Con la llegada de Claude Mythos Anthropic, esta brecha se ensancha peligrosamente. El modelo puede trabajar 24/7, analizando cada commit en repositorios de código abierto como npm o PyPI en tiempo real.

Un ejemplo palpable de este riesgo fue el reciente ataque a la librería Axios. A finales de marzo de 2026, una cuenta de desarrollador comprometida fue utilizada para inyectar un Troyano de Acceso Remoto (RAT) multiplataforma. Aunque el ataque fue detectado en tres horas por sistemas de monitoreo basados en IA de Elastic, en ese breve lapso se produjeron más de 500,000 descargas. Klein señaló que un modelo de la clase de Mythos, en manos de actores estatales, podría haber orquestado una ocultación mucho más sofisticada, verificando automáticamente que el código malicioso no activara alertas en los escáneres de seguridad más comunes antes de su despliegue.

La preocupación es que la IA está comprimiendo la “ventana de explotación” (el tiempo entre el descubrimiento de una vulnerabilidad y su parcheo) a prácticamente cero. Si un atacante utiliza Mythos para encontrar y explotar un fallo en horas, los ciclos tradicionales de parcheo de las empresas, que a menudo toman semanas, se vuelven obsoletos.

Proyecto Glasswing: Un Escudo Contra la Proliferación

Conscientes del riesgo existencial que representa un modelo con estas capacidades, Anthropic ha anunciado que Claude Mythos Anthropic no estará disponible para el público general. En su lugar, han lanzado el Proyecto Glasswing, un consorcio de ciberseguridad valorado en $100 millones de dólares que incluye a gigantes como Microsoft, Google, Amazon, Apple y NVIDIA.

Este ecosistema controlado permite que el modelo sea utilizado exclusivamente para fines defensivos (Blue Teaming) y de investigación responsable. Los objetivos del Proyecto Glasswing son claros:

1. Inoculación de Software Crítico: Usar Mythos para auditar proactivamente el kernel de Linux, navegadores web y sistemas de infraestructura crítica antes de que los atacantes lo hagan.
2. Generación Automática de Parches: Desarrollar sistemas que, al detectar una vulnerabilidad, creen y verifiquen un parche de seguridad de forma instantánea.
3. Atribución de Amenazas: Utilizar las capacidades de razonamiento de Mythos para analizar el estilo de codificación de malware nuevo y vincularlo con grupos de amenazas conocidos (APT).

Sin embargo, críticos en la conferencia argumentaron que mantener el modelo “bajo llave” es una solución temporal. El riesgo de una filtración de pesos del modelo (model weights) o el desarrollo de capacidades similares por parte de laboratorios con menos escrúpulos éticos es una realidad latente. La “carrera armamentista” de la IA en ciberseguridad ya ha comenzado, y Mythos es el primer misil hipersónico de este conflicto digital.

Hacia un Nuevo Paradigma: El Empleado Agéntico de Seguridad

La visión final presentada por Jacob Klein en el SANS Summit sugiere un cambio de paradigma en la fuerza laboral de ciberseguridad. Mythos no es solo una herramienta; es un “empleado agéntico”. En los equipos de Red Team, puede actuar como un operador autónomo que realiza pruebas de penetración continuas. En los SOC (Security Operations Centers), puede actuar como un analista de Nivel 3 que investiga incidentes complejos en segundos.

Este cambio obliga a las organizaciones a replantearse su estructura. La ciberseguridad en 2026 ya no se trata de tener el mejor firewall, sino de tener la mejor orquestación de agentes de IA. Las empresas deberán adoptar arquitecturas de Zero Trust de manera obligatoria, asumiendo que las vulnerabilidades serán encontradas y explotadas a la velocidad de la luz por entidades sintéticas.

Claude Mythos Anthropic representa el fin de la ciberseguridad tal como la conocíamos. La transparencia de Anthropic al presentar este modelo es un llamado de atención para los reguladores y directores de seguridad de todo el mundo: la frontera entre el código seguro y el caos digital ahora depende de quién posea la inteligencia más rápida y capaz. La era de la defensa manual ha muerto; la era de la autonomía de seguridad ha comenzado oficialmente.