Claude Mythos: El modelo «prohibido» de Anthropic que revoluciona la ciberseguridad
Anthropic ya no se limita a seguir el ritmo de la potencia de los modelos: la empresa ahora desea influir en el equilibrio global de la ciberseguridad.
Con Project Glasswing, la startup de San Francisco lanza una iniciativa ambiciosa que combina un modelo inédito, Claude Mythos Preview, con una coalición de importantes grupos tecnológicos y financieros para detectar y corregir fallas críticas antes de que caigan en malas manos.
Una iniciativa que va mucho más allá de un simple anuncio
Anthropic presenta su proyecto Glasswing como un esfuerzo coordinado para asegurar el software que sostiene las infraestructuras más sensibles. Entre los socios de lanzamiento se encuentran AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, Nvidia y Palo Alto Networks. La empresa también menciona haber ampliado el acceso a más de 40 organizaciones que desarrollan o mantienen componentes de software críticos, con hasta 100 millones de dólares en créditos de uso para Claude Mythos Preview y 4 millones de dólares en donaciones destinadas a la seguridad del código abierto.
Este posicionamiento es relevante. Glasswing no se lanza como un simple producto de seguridad, sino como un intento de crear una ventaja defensiva temporal, antes de que capacidades comparables se vuelvan más accesibles. Anthropic lo dice casi sin rodeos: el avance de la IA es tal que este tipo de competencia cibernética podría difundirse en cuestión de meses, no años.
Claude Mythos Preview, un modelo demasiado potente para su divulgación pública
En el centro del dispositivo se encuentra Claude Mythos Preview, un modelo generalista que Anthropic afirma no querer hacer disponible para el público en general debido a sus capacidades en ciberseguridad. Según la empresa, el modelo ya ha permitido identificar miles de vulnerabilidades severas, incluidas en todos los sistemas operativos principales y en todos los navegadores web principales. Anthropic también sostiene que Mythos ha podido descubrir y, en muchos casos, explotar estas brechas de manera bastante autónoma.
Los ejemplos proporcionados no son triviales. Anthropic menciona una falla de 27 años en OpenBSD, una vulnerabilidad de 16 años en FFmpeg que pasó desapercibida en millones de pruebas automatizadas, así como una cadena de fallas en el núcleo de Linux que permite la elevación de privilegios hasta el control total de la máquina. La empresa aclara que estos casos han sido reportados y corregidos.
En las pruebas internas y públicas que Anthropic destaca, la diferencia con Claude Opus 4.6 es clara: 83.1% en CyberGym frente a 66.6%, 93.9% en SWE-bench Verified frente a 80.8%, y 77.8% en SWE-bench Pro frente a 53.4%. Tomados en conjunto, estos números respaldan la idea de un verdadero salto generacional, aunque provengan de Anthropic y deba leerse como resultados proporcionados por el propio editor.
El verdadero desafío no es solo encontrar las brechas, sino absorberlas
Este es sin duda el punto más delicado del proyecto. Encontrar miles de zero-days puede parecer impresionante; divulgarlas de manera responsable sin abrumar a los mantenedores es otra historia. Anthropic dice haber implementado un sistema de filtrado, con validación humana de los informes más críticos antes de su comunicación a los equipos involucrados, así como un ritmo de divulgación diseñado para adaptarse a la capacidad real de los proyectos para absorber las correcciones. Anthropic planea acompañar, cuando sea posible, los informes con propuestas de correcciones, al tiempo que recomienda una revisión completa por parte de humanos.
Esta prudencia es esencial, dado que la iniciativa toca un área muerta bien conocida de la seguridad moderna: el código abierto crítico suele depender de equipos pequeños o incluso de voluntarios. Eso es precisamente lo que la Linux Foundation destaca, considerando que Glasswing podría ser una forma de democratizar un nivel de experiencia que hasta ahora ha estado reservado para grandes empresas con equipos de seguridad sólidos.
Un anuncio que llega en un momento en que Anthropic cambia de escala
El contexto es casi tan relevante como el proyecto mismo. Un día antes, Anthropic anunciaba haber superado los 30 mil millones de dólares en ingresos anuales, frente a unos 9 mil millones a finales de 2025, con más de 1,000 clientes empresariales que gastan cada uno más de un millón de dólares al año. En el mismo movimiento, la compañía confirmó un nuevo acuerdo con Google y Broadcom para varios gigavatios de capacidad TPU de nueva generación, esperados a partir de 2027.
Dicho de otro modo, el proyecto Glasswing no surge en una semana ordinaria. Se inscribe en una secuencia donde Anthropic busca demostrar que ya no es solo un laboratorio ambicioso, sino una empresa capaz de influir simultáneamente en la infraestructura de IA, el mercado empresarial y ahora en las doctrinas de ciberseguridad. Esto también otorga al anuncio una dimensión más estratégica que un simple lanzamiento de funcionalidad.
La paradoja Anthropic: predicar la seguridad mientras arrastra algunas debilidades operativas
El proyecto no escape a una ironía bastante palpable. En las últimas semanas, Anthropic ha sido sacudida por varios incidentes reportados por la prensa, incluidas una filtración relacionada con un borrador de blog y un error en el empaquetado de Claude Code. La misma existencia de Mythos había comenzado a circular antes del anuncio oficial. Anthropic sostiene que estos incidentes fueron errores humanos en las herramientas de publicación, y no una violación de su arquitectura de seguridad principal.
La distinción es técnicamente importante, pero reputacionalmente no siempre será suficiente. Cuando una empresa afirma haber construido un modelo capaz de encontrar y explotar vulnerabilidades de alto nivel, la menor debilidad operativa adquiere inmediatamente una dimensión simbólica. Y en este asunto, la confianza puede ser el activo más crítico de todos.
Anthropic intenta establecer las reglas antes de que el mercado las imponga
El proyecto Glasswing cuenta en el fondo una historia muy simple: Anthropic cree que la transición ya ha comenzado. La IA ya no es solo una herramienta de asistencia para el código; se convierte en un actor capaz de cambiar la velocidad, la escala y la naturaleza misma del descubrimiento de vulnerabilidades. En este contexto, la verdadera batalla ya no es si estas capacidades existirán, sino quién las utilizará primero de manera industrial: los defensores o los atacantes.
Esto es lo que hace que la iniciativa sea tan interesante. Anthropic hace una apuesta muy clara: restringir temporalmente el acceso al modelo, orientarlo hacia un círculo de socios considerados responsables, financiar el ecosistema de código abierto y luego compartir las primeras lecciones públicas en un plazo de 90 días. No es una garantía de éxito, pero es un intento de crear una doctrina antes de que la proliferación técnica imponga la suya.
La cuestión ya no es si la IA transformará la ciberseguridad. Ya ha comenzado a hacerlo. La verdadera incógnita, a partir de ahora, es si los defensores tienen suficiente anticipación para que esta transformación siga siendo manejable.
