Claude Mythos: por qué Anthropic restringió su IA de ciberseguridad

Claude Mythos es una familia de modelos de inteligencia artificial de Anthropic centrada en encontrar y aprovechar vulnerabilidades informáticas. La compañía decidió no ofrecer al público el primer modelo, Mythos Preview, porque sus capacidades podían servir tanto para corregir fallos como para convertirlos en ataques. En vez de publicarlo, abrió el acceso a organizaciones seleccionadas para que examinaran software crítico y repararan sus puntos débiles.

La reserva, sin embargo, no ha significado que el sistema permanezca completamente fuera de circulación. Su existencia se conoció tras una filtración de materiales, hubo informaciones sobre accesos no autorizados y el modelo evolucionó hacia versiones posteriores con distintos niveles de protección. La historia plantea una cuestión más amplia que la potencia de una IA: quién puede utilizar una herramienta capaz de acelerar la búsqueda de fallos y qué pruebas permiten medir el peligro real.

Por qué Anthropic decidió limitar el acceso

Anthropic presentó Mythos Preview el 7 de abril de 2026 como un modelo con capacidades destacadas para analizar código, localizar vulnerabilidades y contribuir a su corrección. El problema es que detectar una brecha no es una tarea neutral. La misma información que permite a un equipo de seguridad cerrar una puerta digital puede ayudar a otra persona a encontrarla antes y entrar. En ciberseguridad, muchas herramientas tienen ese carácter de doble uso: la intención y el control del acceso cambian el efecto de una misma capacidad.

La empresa afirmó que sus pruebas habían identificado fallos en los principales sistemas operativos y navegadores. Según Anthropic, algunos habían resistido durante años las revisiones humanas y las pruebas automatizadas. Esa afirmación explica el tono de cautela, pero no equivale a una evaluación independiente de todos los hallazgos. El argumento de la compañía fue que publicar el modelo sin restricciones podía aumentar la capacidad de actores maliciosos para encontrar y explotar errores, antes de que sus responsables tuvieran tiempo de corregirlos.

Anthropic no presentó la decisión como una prohibición definitiva de la investigación con IA. Eligió, al menos al principio, una distribución controlada: facilitar la herramienta a organizaciones que mantienen software e infraestructuras relevantes y permitirles revisar sus propios sistemas. El modelo se concibió así como un recurso de seguridad que debía usarse en un entorno limitado, no como un producto general disponible para cualquier usuario.

Ese planteamiento tiene una lógica clara, aunque no resuelve por sí solo el dilema. Restringir un modelo reduce el número de personas que pueden utilizarlo, pero concentra la capacidad en la empresa que lo desarrolla y en las entidades elegidas como socias. Además, no impide que otros laboratorios creen sistemas con capacidades parecidas. La reserva puede reducir la exposición inmediata, pero no elimina el riesgo tecnológico ni garantiza que la capacidad siga siendo exclusiva.

De una filtración accidental a un acceso restringido

La existencia de Mythos se hizo pública el 26 de marzo de 2026, cuando se encontraron borradores de publicaciones de Anthropic en una base de datos accesible. La compañía reconoció después que estaba probando un nuevo modelo y que sus capacidades planteaban riesgos relevantes para la ciberseguridad. La secuencia importa: el sistema no apareció primero como un producto anunciado y luego retirado, sino como un desarrollo cuya existencia trascendió antes de que la empresa detallara su estrategia de despliegue.

El 7 de abril Anthropic hizo pública la versión Preview y anunció Project Glasswing, la iniciativa con la que seleccionó a empresas y organizaciones para buscar y corregir vulnerabilidades en software importante. Entre los participantes mencionados figuraban compañías tecnológicas como Apple, Google, Microsoft, Amazon Web Services, Cisco, Nvidia y Broadcom, además de la Linux Foundation. La lista reunía a desarrolladores de plataformas, proveedores de infraestructura y entidades con responsabilidad directa sobre componentes utilizados por millones de personas.

Pocos días después, Bloomberg informó de que usuarios no autorizados habían conseguido acceder al modelo. Según ese medio, formaban parte de un grupo privado en línea y habrían aprovechado información sobre la forma en que Anthropic almacenaba modelos, además de datos relacionados con una filtración sufrida por Mercor. La información disponible describía un acceso a través del entorno de un proveedor externo, no una extracción confirmada del modelo para su distribución abierta.

Anthropic dijo que investigaba el incidente y que no tenía indicios de que el modelo hubiera sido utilizado fuera de los sistemas del proveedor. Esa diferencia es importante: un acceso no autorizado a una interfaz o a un entorno de trabajo no demuestra automáticamente que alguien haya obtenido una copia completa del sistema, sus parámetros o su infraestructura. Lo que se conoció fue un posible acceso indebido, no una prueba de que Mythos hubiera quedado liberado para cualquiera.

La filtración dejó al descubierto una paradoja incómoda. Una empresa que limita una herramienta por sus posibles efectos en la seguridad también debe proteger con especial rigor los sistemas y proveedores que la alojan. La cautela en el lanzamiento y la seguridad operativa son problemas distintos: resolver el primero no compensa un fallo en el segundo. En este caso, la información pública no permitió establecer que los usuarios hubieran tomado el control del modelo, pero sí mostró que una tecnología restringida puede atraer intentos de acceso antes incluso de su distribución amplia.

Qué puede hacer el modelo y qué se ha comprobado

Mythos fue diseñado para trabajar con código y detectar debilidades de software. Una vulnerabilidad puede ser un error que permite, por ejemplo, acceder a datos, ejecutar instrucciones no autorizadas o superar una barrera de seguridad. El valor de un sistema de IA en este campo no consiste solo en señalar una línea sospechosa: también puede ayudar a entender cómo encaja el fallo en un programa y qué pasos podrían convertirlo en una vía de ataque. Esa combinación explica por qué la herramienta interesa tanto a quienes defienden sistemas como a quienes pretenden vulnerarlos.

La evaluación del AI Security Institute británico situó a Mythos por delante de otros modelos examinados en una prueba de ciberseguridad con un entorno controlado, seguida por Claude Opus 4.6; GPT-5.4 y GPT-5.3 Codex quedaron empatados detrás. Un ensayo de este tipo ofrece una comparación bajo condiciones concretas, no una garantía de que el modelo vaya a superar a cualquier profesional o herramienta en todos los entornos reales. El resultado señala capacidad en una prueba determinada, no una medida universal de superioridad.

También circuló una estimación industrial, publicada por el Financial Times, según la cual Mythos tendría alrededor de 8 billones de parámetros y Fable 5 unos 5 billones. Anthropic no presentó esas cifras como especificaciones oficiales, por lo que deben entenderse como estimaciones y no como datos confirmados por la empresa. Además, el tamaño de un modelo no explica por sí solo su rendimiento en tareas de seguridad: influyen el entrenamiento, el diseño, las herramientas disponibles y la forma de plantear cada prueba.

La discusión se vuelve más delicada cuando se pasa de encontrar fallos a demostrar que el modelo puede explotarlos con éxito. Anthropic comunicó hallazgos en sistemas operativos y navegadores, pero investigadores independientes cuestionaron parte de la lectura pública de esos resultados. En un análisis de la compañía, según esas críticas, Claude Opus 4.6 había encontrado algunos errores antes de que Mythos se encargara de explotarlos. También se señaló que ciertos ensayos relacionados con Firefox se realizaron en un entorno que imitaba el navegador con protecciones reducidas, y no necesariamente en la aplicación completa tal como la utiliza el público.

Otra crítica se centró en la dependencia de unos pocos fallos especialmente aprovechables. En las pruebas descritas, el rendimiento de Mythos para lograr ejecución de código descendía de forma marcada al retirar dos vulnerabilidades destacadas. Un investigador también afirmó que uno de los errores presentados como significativo había sido detectado por los ocho modelos de código abierto evaluados en otra prueba, incluido uno mucho más pequeño. Estos matices no prueban que Mythos carezca de valor, pero sí impiden convertir las afirmaciones promocionales en evidencia concluyente.

La diferencia entre localizar una vulnerabilidad y explotarla de manera fiable resulta esencial. Un modelo puede encontrar un fallo que un equipo humano no había visto y, aun así, no poder utilizarlo en cualquier dispositivo, versión o configuración. Del mismo modo, un éxito en un entorno preparado no implica que un ataque vaya a funcionar en sistemas protegidos y actualizados. La valoración rigurosa exige conocer las condiciones del ensayo, qué herramientas se permitieron y cuántos intentos fueron necesarios, no solo el resultado más llamativo.

Project Glasswing y la reparación de fallos

Project Glasswing fue la respuesta práctica de Anthropic a la decisión de no publicar Mythos Preview. El proyecto reunió a organizaciones capaces de examinar software y servicios esenciales, con la intención de que la capacidad de detección se utilizara primero para corregir errores. La iniciativa abarcó áreas como tecnología, servicios en la nube y software de código abierto, donde una vulnerabilidad puede propagarse mucho más allá de la empresa que mantiene directamente el componente afectado.

Las cifras de participación variaron con el tiempo y según el anuncio. En la presentación inicial se habló de más de 40 organizaciones; en junio Anthropic comunicó que ampliaba el acceso a 150 entidades de más de 15 países. Otras informaciones sobre la evolución del programa hablaron de hasta 200 organizaciones. Esas cantidades describen momentos o recuentos distintos, por lo que no conviene tratarlas como una cifra única y simultánea. La expansión no convirtió el sistema en un modelo de acceso público: amplió un programa de participantes seleccionados.

Anthropic comunicó que los primeros 50 socios de Glasswing habían identificado más de 10.000 vulnerabilidades de gravedad alta o crítica. Ese volumen describe fallos detectados, pero no permite concluir que todos fueran igual de peligrosos, novedosos o explotables. La etiqueta de gravedad depende de criterios técnicos y del contexto en que aparece el error; además, los responsables del software pueden valorar de forma distinta la severidad una vez revisado el caso.

El hallazgo más visible asociado a Mythos llegó desde Mozilla. La organización anunció que había encontrado y corregido 271 vulnerabilidades de seguridad en Firefox con ayuda del modelo. El dato ilustra cómo una IA puede aportar valor a un equipo que tiene acceso legítimo al código y capacidad para validar y parchear los errores. No significa que cada fallo hubiera sido descubierto de forma autónoma ni que todos pudieran convertirse en ataques reales: la revisión técnica y la reparación siguen dependiendo de personas responsables del producto.

Ahí aparece un cuello de botella menos espectacular que la detección. Encontrar errores a gran velocidad no basta si los desarrolladores no pueden confirmar cuáles son reales, medir su impacto, coordinar la divulgación y preparar actualizaciones seguras. Un investigador citado en la información de referencia señaló que, en septiembre, solo una parte de los fallos descubiertos se había comunicado y menos del 1% estaba corregido; también apuntó a una diferencia entre la proporción de errores clasificados como graves por Mythos y la que atribuían los mantenedores de los proyectos.

La brecha entre detección y reparación revela que la IA puede acelerar una fase y dejar intactas las limitaciones de las demás. Cada vulnerabilidad necesita contexto: comprobar que no sea un falso positivo, identificar qué versiones están afectadas y evitar que el parche rompa otras funciones. La velocidad de la máquina solo mejora la seguridad si los equipos humanos pueden verificar y corregir sus resultados a tiempo.

De Mythos Preview a Fable y las nuevas versiones

La estrategia de Anthropic cambió durante el verano de 2026. En junio presentó Claude Mythos 5 en una versión de acceso limitado a través de Glasswing y lanzó Claude Fable 5, descrito como un modelo de la misma clase con salvaguardas más amplias para el uso general. Según la empresa, ambos compartían la base del modelo, pero diferían en las protecciones. Cuando los clasificadores de Fable detectaban solicitudes relacionadas con ciberseguridad, biología, química o destilación de modelos, la respuesta podía derivarse a Claude Opus, un sistema menos capaz.

La existencia de una variante más accesible matiza la idea de que Anthropic mantuviera toda la tecnología completamente oculta. La empresa distinguió entre un modelo restringido, con ciertas protecciones levantadas en áreas concretas, y otro preparado para un uso más amplio. Esa separación busca conservar capacidades útiles y, al mismo tiempo, limitar respuestas consideradas de mayor riesgo. No elimina todos los peligros: los filtros pueden equivocarse, y el comportamiento de un modelo depende también del contexto y de las herramientas con las que se combine.

El acceso a Mythos 5 y Fable 5 sufrió además cambios por decisiones del Gobierno estadounidense. El 12 de junio, Anthropic recibió una directriz que impedía el acceso a ambos modelos a personas no estadounidenses, con independencia de dónde estuvieran, y retiró el acceso a sus clientes. Anthropic anunció a finales de junio que el Departamento de Comercio había levantado las restricciones de exportación; la compañía comunicó entonces que restablecería el acceso. El episodio muestra que el despliegue de una IA avanzada puede quedar condicionado no solo por las políticas de una empresa, sino también por decisiones de seguridad nacional.

Fable 5 tuvo un periodo de acceso temporal incluido en determinados planes de suscripción entre el 1 y el 19 de julio, antes de incorporarse como función habitual a los planes de nivel superior. Mythos, en cambio, continuó ligado a un acceso más restringido. El 1 de septiembre Anthropic anunció Claude Mythos 5.1 y Claude Fable 5.1. La diferencia entre ambas líneas refleja una estrategia de dos vías: ampliar el uso de capacidades con barreras y reservar las funciones más delicadas para entornos controlados.

Por qué reaccionaron bancos y gobiernos

La posibilidad de que una IA encuentre fallos en software usado por bancos, empresas y administraciones llamó la atención de las autoridades financieras. Tras el anuncio de abril, el secretario del Tesoro de Estados Unidos y el presidente de la Reserva Federal convocaron a directivos del sector para hablar de las capacidades de Mythos. Varios bancos, entre ellos JPMorgan Chase, Goldman Sachs, Citigroup, Bank of America y Morgan Stanley, empezaron a probar el modelo ante la preocupación por las vulnerabilidades de sus sistemas.

La inquietud no se limitó a Estados Unidos. El Banco de Canadá convocó reuniones con grandes entidades financieras y el Banco de Inglaterra incluyó el asunto en encuentros sobre resiliencia operativa. En Europa, la presidenta del Banco Central Europeo elogió la decisión de restringir el acceso. También hubo conversaciones y medidas en India, Japón y Australia, mientras que funcionarios canadienses defendieron el enfoque de limitar la herramienta. La reacción internacional reflejó el temor a que un fallo informático en una entidad crítica tenga efectos más allá de una sola empresa.

La atención oficial no demuestra que Mythos haya comprometido redes bancarias ni que exista un ataque concreto asociado al modelo. Muestra que las instituciones consideran relevante prepararse ante herramientas capaces de automatizar partes de la búsqueda de vulnerabilidades. En las finanzas, los sistemas están interconectados y dependen de proveedores comunes; una brecha en un componente compartido puede afectar a múltiples organizaciones, aunque cada banco tenga sus propios controles.

El debate también llegó a la política tecnológica. El Tesoro estadounidense buscó acceso al sistema y la Casa Blanca mantuvo reuniones con Anthropic. Legisladores de ambos partidos pidieron revisar la política federal de ciberseguridad, mientras que el Gobierno japonés y las autoridades financieras de otros países debatieron respuestas coordinadas. En abril, Anthropic rechazó una petición de acceso atribuida a una persona vinculada a un centro de estudios chino; la embajada china dijo que no conocía la solicitud y negó que estuviera relacionada con el Gobierno.

Los bancos que no formaban parte del grupo con acceso buscaron alternativas. Mistral AI comenzó a desarrollar un modelo orientado a entidades financieras europeas, según la información publicada. Ese movimiento deja ver una consecuencia de la distribución selectiva: el acceso limitado puede reducir el riesgo de exposición, pero también crea diferencias entre organizaciones que pueden utilizar herramientas avanzadas y otras que deben esperar o construir opciones propias.

El debate sobre el secreto y la evidencia

La decisión de Anthropic ha dividido a especialistas y observadores. Para algunos, limitar un sistema que puede contribuir a explotar vulnerabilidades es una precaución proporcionada, sobre todo mientras los responsables de los programas intentan corregir fallos. Otros advierten de que mantener una tecnología en manos de una sola empresa y un grupo de socios concentra poder y dificulta que investigadores independientes evalúen sus capacidades. Ninguna de las dos posiciones resuelve por completo el dilema: publicar puede facilitar usos dañinos, pero reservar también limita el escrutinio.

El caso ha recibido interpretaciones especialmente alarmadas, incluso sobre el equilibrio de seguridad entre Estados. Sin embargo, conviene distinguir entre advertir de un posible efecto futuro y demostrar que ese efecto ya se ha producido. Los resultados técnicos públicos permiten sostener que Mythos puede ayudar a detectar vulnerabilidades y que Anthropic lo considera suficientemente sensible para restringirlo. No bastan, por sí solos, para afirmar que el modelo pueda penetrar cualquier sistema o que haya vuelto indefensas a las organizaciones pequeñas.

La controversia sobre las pruebas refuerza la necesidad de evaluaciones transparentes. Si los datos proceden solo de documentos de la empresa, resulta difícil saber qué parte del resultado depende del modelo, de los sistemas auxiliares o del diseño del experimento. Las pruebas independientes pueden contrastar esas afirmaciones, aunque también necesitan describir sus propios límites y condiciones. La confianza no depende únicamente de que la empresa publique cifras, sino de que otros puedan comprobar qué significan.

También hay una tensión entre la divulgación responsable y la rapidez con que se difunden los hallazgos. Informar al fabricante antes de hacer público un fallo permite preparar una solución, pero el proceso puede dejar a los usuarios sin detalles durante un tiempo. En un programa a gran escala, con miles de errores potenciales y numerosos mantenedores, coordinar avisos, prioridades y parches se vuelve una tarea tan importante como la búsqueda inicial. Mythos pone presión sobre un sistema de respuesta que ya depende de recursos humanos limitados.

Una capacidad que cambia de manos con rapidez

Claude Mythos no es simplemente un modelo secreto ni una prueba de que la IA pueda vulnerar cualquier ordenador. Es una familia de sistemas con capacidades avanzadas de análisis de software, cuyo acceso Anthropic ha ido graduando entre pruebas controladas, versiones con salvaguardas y lanzamientos posteriores. La filtración de su existencia y los informes sobre accesos indebidos complicaron ese plan, pero no demostraron que la herramienta quedara disponible sin límites.

El episodio deja dos lecciones que conviven con dificultad. Una IA puede aumentar la capacidad defensiva al encontrar errores que los equipos no habían localizado, como muestra el trabajo comunicado por Mozilla, pero el mismo conocimiento puede reducir el tiempo y la experiencia necesarios para preparar un ataque. A la vez, descubrir miles de fallos no equivale a haberlos corregido: la validación, la coordinación y el despliegue de parches siguen marcando el ritmo real de la seguridad digital.

La pregunta decisiva ya no es solo si modelos como Mythos deben publicarse o permanecer restringidos. También importa quién define las salvaguardas, cómo se supervisan los accesos y qué evidencia independiente se exige antes de presentar sus capacidades como extraordinarias. El riesgo y la utilidad de estas herramientas dependerán tanto de sus límites técnicos como de la calidad de las instituciones que las prueben, auditen y utilicen.