Claude Mythos de Anthropic encontró más de 10,000 fallas de seguridad, luego fue restringido por el gobierno estadounidense

Puntos clave

• Anthropic lanzó Claude Mythos, un modelo de IA diseñado para ciberseguridad y sanidad, a un grupo selecto de socios en abril de 2023.
• Claude Mythos ayudó a 50 socios tecnológicos a encontrar más de 10,000 fallas de seguridad de alta gravedad en los principales sistemas operativos y navegadores web.
• El modelo descubrió un error de seguridad que había pasado desapercibido en OpenBSD, un tipo de sistema operativo, durante 27 años.
• El gobierno estadounidense impuso controles de exportación en Claude Mythos en junio de 2023, aunque esas restricciones fueron levantadas dentro de dos semanas.
• Anthropic limita quién puede acceder directamente a Mythos, citando temores de que los ciberdelincuentes podrían convertir sus capacidades en armas.

El nuevo modelo de IA de Anthropic no se lanzó con una conferencia de prensa ni una demostración de producto. Se lanzó en silencio, entregado a un pequeño círculo de socios tecnológicos, y luego comenzó a encontrar errores que habían estado ocultos dentro del software durante décadas.

Como fue reportado por primera vez por ThreatVectr, Claude Mythos, un modelo de lenguaje grande, es decir, el mismo tipo de tecnología de IA que potencia chatbots como ChatGPT, llegó en abril de 2023 bajo un programa que Anthropic llamó Proyecto Glasswing. La idea era simple: dar a los defensores una ventaja inicial.

Cincuenta organizaciones socias utilizaron Mythos para escanear los principales sistemas operativos y navegadores web en busca de vulnerabilidades, que son debilidades en el software que los atacantes pueden explotar. Los resultados fueron sorprendentes. El modelo encontró más de 10,000 fallas críticas. Una de ellas había estado sin detectar dentro de OpenBSD, un sistema operativo de código abierto ampliamente utilizado, durante 27 años.

Mythos también puede encadenar múltiples fallas, detectando rutas de ataque que un investigador humano podría pasar por alto al observar cada error de forma aislada.

Ese poder preocupaba a la gente.

En junio de 2023, el gobierno estadounidense impuso controles de exportación temporales en Mythos y un modelo relacionado llamado Claude Fable, restringiendo quién podía acceder a ellos fuera del país. Los controles fueron levantados dos semanas después, pero el episodio subraya una tensión real: una herramienta lo suficientemente buena para encontrar vulnerabilidades ocultas rápidamente es también una herramienta que un criminal podría usar para explotarlas.

La respuesta de Anthropic es un enfoque de dos niveles. Claude Fable utiliza la misma tecnología subyacente que Mythos pero opera bajo reglas estrictas que le impiden ayudar con tareas de seguridad riesgosas. Si una solicitud infringe esas reglas, Fable se remite a un modelo más ligero llamado Opus 4.8 en lugar de simplemente rechazar.

¿Qué significa esto para la gente común?

Para la mayoría de las personas, el efecto directo es invisible, al menos por ahora. Tu banco, el sistema operativo de tu teléfono, el navegador en el que estás leyendo esto: todos contienen código que los equipos de seguridad están compitiendo por revisar antes que los atacantes. Mythos es una de las herramientas que acelera esa carrera.

Cisco, una de las empresas con acceso temprano, ya ha publicado su Foundry Security Spec, un marco de pruebas de código abierto que otros proveedores pueden utilizar sin empezar desde cero. Ese tipo de intercambio de conocimientos es importante porque los atacantes se mueven rápido y los defensores necesitan todos los atajos que puedan encontrar.

Los críticos no están tan convencidos de que la historia termine ahí. Los investigadores de seguridad señalan que encontrar errores es solo la mitad del trabajo. Las organizaciones aún necesitan los recursos y la disciplina para corregirlos, y ningún modelo de IA hasta ahora detiene a un estafador de simplemente llamar por teléfono e ingeniárselas para pasar tus defensas.

Sigue siendo curioso sobre qué está protegiendo tus datos. Las herramientas están mejorando rápidamente.