La IA de Anthropic encuentra errores en Microsoft más rápido de lo que los ingenieros pueden repararlos

Puntos clave

• Anthropic dio a empresas de software seleccionadas acceso a un nuevo modelo de IA llamado Mythos a mediados de mayo de 2025 para encontrar vulnerabilidades de seguridad antes de que lo hicieran los piratas informáticos.
• Microsoft lanzó un esfuerzo interno, denominado Project Glasswing, específicamente para reparar las vulnerabilidades que Mythos descubrió.
• El esfuerzo se presenta como una carrera defensiva: parchear los agujeros antes de que China u otros actores adversarios utilicen herramientas de IA similares para explotarlos.
• Ingenieros en la sede de Microsoft en Redmond cuestionaron abiertamente si Mythos funcionó tan bien como Anthropic afirmaba.

Decenas de ingenieros de Microsoft se aglomeraron en una sala de conferencias en Redmond, Washington, o se conectaron por video, una tarde a mediados de mayo. La reunión tenía un orden del día inusual: una IA había estado rompiendo su propio software, y necesitaban hablar sobre cuán grave era la situación.

La IA en cuestión es Mythos, un modelo construido por Anthropic, la empresa de IA con enfoque en seguridad de San Francisco detrás de la familia de chatbots Claude. Anthropic dio a Mythos acceso a un pequeño grupo de organizaciones que construyen software utilizado por personas comunes, empresas y gobiernos. La idea era simple: dejar que una IA avanzada busque vulnerabilidades de seguridad, los puntos débiles en el código por los que los atacantes pueden colarse, antes de que los piratas informáticos del mundo real los encuentren primero.

La respuesta interna de Microsoft recibió un nombre: Project Glasswing.

¿Por qué esto importa a la gente común?

El software de Microsoft se encuentra en cientos de millones de computadoras en todo el mundo. Una vulnerabilidad sin parchear es una puerta abierta. Si un grupo de hackers respaldado por un gobierno, o una banda criminal, encuentra los mismos defectos primero, las consecuencias van desde robo de datos hasta infraestructura interrumpida.

Esa es exactamente la amenaza que Anthropic y Microsoft están intentando adelantarse. Como informó Ars Technica, la preocupación dentro de las reuniones de Glasswing era explícita: gobiernos adversarios, incluyendo China, podrían pronto desplegar sus propias herramientas de IA para escanear las mismas debilidades a escala.

Los modelos de IA se han utilizado durante mucho tiempo para ayudar a escribir código. Lo que es más nuevo, y lo que hace a Mythos notable, es la velocidad a la que aparentemente identifica defectos en código existente. Reparar vulnerabilidades de software siempre ha sido una carrera contra el descubrimiento. Mythos parece estar acortando el reloj en ambos lados.

¿Se convencieron los ingenieros?

No del todo, al principio. Cuando comenzó la reunión de Glasswing, un ingeniero hizo la pregunta que estaba en la sala: ¿realmente Mythos "cumplió con la expectativa que Anthropic afirmó que tendría?"

Ese escepticismo es saludable. Los sistemas de IA regularmente se venden demasiado. Un modelo que encuentra diez problemas menores ya conocidos se ve diferente de uno que expone vulnerabilidades genuinamente peligrosas e inéditas. El reportaje de la fuente aún no indica en cuál categoría caen los hallazgos de Mythos, ni cuántas vulnerabilidades fueron encontradas y parcheadas.

¿Qué sucede ahora?

Los detalles de lo que Mythos encontró permanecen sin publicar, lo que es práctica estándar: no anuncias exactamente dónde estaban los agujeros hasta que los parches estén activos.

Lo que esta historia señala más ampliamente es un cambio en cómo funciona la industria de seguridad. Las empresas están comenzando a usar IA ofensivamente de manera controlada, apuntándola a sus propios productos, para ganarle a los atacantes genuinos. Ese enfoque se extenderá. La pregunta es si los defensores pueden mantener el ritmo.

Para usuarios cotidianos, el consejo práctico no ha cambiado: mantén tu software actualizado. Cuando lleguen los parches, ahora pueden deber su existencia a una IA que encontró el problema primero.

Preguntas frecuentes

¿Qué es exactamente una vulnerabilidad de software?

Una vulnerabilidad es un error o punto débil en el código de un programa que un atacante puede usar para entrar donde no debería. Piénsalo como una ventana sin cerrar en un edificio de otro modo cerrado.

¿Debería preocuparme de que la IA pueda encontrar estos defectos tan rápidamente?

La misma velocidad que preocupa a los defensores podría protegerte. Si las empresas usan IA para encontrar y reparar defectos antes de que lo hagan los atacantes, tu software se vuelve más seguro. El riesgo es que actores hostiles obtengan las mismas herramientas y se muevan más rápido que los defensores.