El sistema de IA Mythos de Anthropic detecta nuevos errores rápidamente. Los antiguos sin parches siguen siendo el verdadero peligro.

Puntos clave

• Anthropic lanzó Mythos, un sistema de IA que busca automáticamente vulnerabilidades de seguridad en software, el 7 de abril de 2025.
• Mythos registra los errores descubiertos como CVE (Vulnerabilidades y Exposiciones Comunes), los números de identificación únicos que catalogan todos los errores de software conocidos para que los proveedores y defensores puedan discutir el mismo problema.
• El código de explotación, software que convierte una vulnerabilidad conocida en un ataque funcional, ahora aparece entre 3 y 7 días después de que se haga pública una vulnerabilidad.
• La mayoría de las organizaciones tardan 45 días o más en aplicar un parche crítico, dejando una ventana de aproximadamente seis semanas en la que los atacantes pueden entrar sin obstáculos.
• Medir la brecha entre el momento en que un proveedor lanza un parche y cuándo llega a todos los sistemas afectados es la métrica más importante que la mayoría de las empresas no están monitoreando.

Anthropic, la empresa detrás de la familia de asistentes de IA Claude, presentó una herramienta llamada Mythos el 7 de abril de 2025. Según informó por primera vez ThreatVectr, Mythos lee código de software de la manera en que lo haría un investigador de seguridad humano, solo que mucho más rápido, y registra automáticamente lo que encuentra como CVE. La industria de la seguridad inmediatamente comenzó a preocuparse por la avalancha de nuevas entradas que se vierten en un catálogo ya sobrecargado.

Esa preocupación es real. También es lo incorrecto en lo que enfocarse.

Mire los informes de brechas de los últimos cinco años y el mismo patrón aparece. Los atacantes no encontraron un fallo astuto de día cero, es decir, una vulnerabilidad que nadie conocía aún. Entraron a través de una vulnerabilidad que el proveedor ya había parcheado, a veces meses antes del ataque, que la víctima simplemente no se había molestado en corregir.

¿Mythos realmente hace que las empresas sean menos seguras?

No directamente. Pero hace que un problema preexistente sea más difícil de ignorar. Aquí está la aritmética: si su organización tarda un promedio de 45 días en aplicar un parche crítico, y el código de explotación funcional para una nueva vulnerabilidad aparece entre 3 y 7 días después de la divulgación, está expuesto durante casi seis semanas en cada falla grave. Mythos acelera el lado del descubrimiento de esa ecuación. No hace nada sobre la demora del otro lado.

Para la gente ordinaria, esto importa prácticamente. Las empresas que tienen sus registros médicos, detalles bancarios, historial de compras: su seguridad depende no solo de encontrar errores, sino de corregir los que ya conocen. Una herramienta de descubrimiento más inteligente solo es útil si el proceso de parches detrás de ella puede mantenerse al ritmo. Observamos esta dinámica desde un ángulo diferente cuando cubrimos el trabajo de seguridad de Google Gemini 3.5 Flash el 21 de julio de 2026, donde el descubrimiento rápido impulsado por IA planteó la misma pregunta sobre si los defensores podrían absorber el volumen.

Cuatro cosas destacan para los defensores.

Primero, mida la ventana de parches. No el recuento total de CVE abiertos en una cola. El número de días entre el lanzamiento de una corrección por parte del proveedor y el momento en que esa corrección llega a todos los sistemas afectados, ordenados por severidad. Si ese número no existe hoy, producirlo es el primer proyecto.

Segundo, redúzcalo. Un plazo de 30 días para parches críticos ya no es agresivo; es el mínimo. Para vulnerabilidades con código de explotación ya en circulación, siete días es un objetivo más defendible.

Tercero, construya un inventario de activos preciso, una lista completa de todas las máquinas y servicios que la organización realmente ejecuta. Todos los respondedores de incidentes tienen la misma historia: el servidor olvidado en una sala trasera, los sistemas de la empresa adquirida que nadie mapeó. El descubrimiento a escala de Mythos encontrará esas máquinas antes de que cualquier equipo de parches lo haga.

Cuarto, lea los boletines de seguridad del proveedor el día en que se publican y actúe sobre ellos. Si una corrección crítica requiere una reunión de comité antes de su lanzamiento, el proceso de comité es en sí mismo la vulnerabilidad.

Mythos no rompió el programa de seguridad de nadie. Aceleró el reloj. Si eso importa depende completamente de cuánto tiempo la ventana ha estado abierta.