Anthropic ha tomado una decisión sin precedentes en la industria de la inteligencia artificial: vetar el acceso público a su modelo más potente, Claude Mythos Preview, después de comprobar que es capaz de detectar y explotar vulnerabilidades de seguridad de forma completamente autónoma en todos los sistemas operativos y navegadores web principales. La empresa anunció el pasado 7 de abril la creación del Proyecto Glasswing, una iniciativa de acceso controlado que limitará el uso del modelo a un consorcio de aproximadamente 40 grandes compañías tecnológicas y de infraestructura crítica.
Los resultados de las pruebas internas son los que justifican la alarma. Durante los test realizados desde el 24 de febrero de 2026, Mythos Preview demostró una capacidad autónoma —sin más intervención humana que escribir un prompt— para hallar fallos críticos en los principales sistemas. Entre los hallazgos más llamativos, según el informe técnico de Anthropic, el modelo localizó una vulnerabilidad en OpenBSD que llevaba 27 años oculta, y otra en la biblioteca de vídeo FFmpeg que había escapado a cinco millones de pruebas automáticas durante 16 años. Mythos también desarrolló un exploit para el navegador Firefox encadenando cuatro vulnerabilidades distintas.
Lo que resulta especialmente revelador es que estas capacidades ofensivas no fueron diseñadas deliberadamente. Tal y como reconoce la propia compañía, emergieron como consecuencia directa de las mejoras generales del modelo en razonamiento, código y autonomía: la misma inteligencia que lo hace más útil como asistente lo convierte también en una herramienta potencialmente devastadora en manos equivocadas.
El Proyecto Glasswing: defensa primero
Antes de que los atacantes accedan a capacidades similares, Anthropic ha optado por poner Mythos al servicio de los defensores. El Proyecto Glasswing reúne a gigantes como Amazon, Apple, Microsoft, Google, Nvidia, Cisco, CrowdStrike, JPMorgan Chase y la Linux Foundation, entre otros. El acceso es exclusivamente defensivo: estas organizaciones usarán el modelo para identificar y parchear las vulnerabilidades que Mythos detecte en sus sistemas, devolviendo los hallazgos a Anthropic para mejorar las salvaguardas. Según la propia empresa, más del 99% de las vulnerabilidades encontradas hasta ahora todavía no han sido parcheadas.
El co-fundador de Anthropic, Dario Amodei, confirmó en el foro Semafor World Economy en Washington que mantiene conversaciones activas con el gobierno de Estados Unidos sobre las implicaciones del modelo. La sacudida llegó también a Wall Street: el secretario del Tesoro, Scott Bessent, convocó de urgencia a los máximos ejecutivos de los principales bancos del país para abordar los riesgos asociados. Las acciones de firmas de ciberseguridad como CrowdStrike y Palo Alto Networks llegaron a caer entre un 5% y un 11% ante el temor de que una IA autónoma pudiera dejar obsoletos los productos actuales.
Un salto de capacidad que lo cambia todo
El rendimiento técnico de Mythos supone una ruptura con la evolución incremental que había caracterizado al sector hasta ahora. Según los datos de Anthropic, en el benchmark SWE-bench Verified el modelo alcanza un 93,9%, y en las olimpiadas matemáticas USAMO logra un 97,6%, frente al 42,3% de los modelos punteros de hace apenas unos meses. Para calibrar el salto en ciberseguridad: su modelo anterior, Opus 4.6, conseguía desarrollar exploits funcionales para Firefox en apenas 2 de varios cientos de intentos. Mythos lo logró en 181 de esos mismos intentos.
No obstante, no todos los expertos comparten el tono alarmista del anuncio. La firma de seguridad AISLE realizó pruebas independientes con modelos abiertos mucho más pequeños y económicos, y descubrió que estos "recuperaron gran parte del mismo análisis" sobre las vulnerabilidades que Anthropic usó como ejemplo. Según Stanislav Fort, fundador y científico jefe de AISLE, la ventaja real en ciberseguridad con IA "es el sistema, no el modelo". Esta perspectiva sugiere que la capacidad ofensiva de Mythos podría no ser tan exclusiva como Anthropic presenta.
¿Quién controla la llave?
La decisión de Anthropic plantea un debate de fondo que va más allá de las capacidades técnicas del modelo. Al restringir el acceso a un grupo selecto de empresas privadas, la compañía asume de facto el papel de árbitro sobre quién puede acceder a una de las herramientas cibernéticas más avanzadas jamás desarrolladas. Como señalan analistas citados por Fortune, esto concentra un poder inusual en manos de una sola empresa privada, sin supervisión regulatoria formal.
El problema de fondo es estructural: según los expertos consultados por NBC News, las organizaciones no son capaces de parchear vulnerabilidades tan rápido como la IA puede encontrarlas. El responsable de investigación ofensiva de Anthropic, Logan Graham, advirtió que, aunque Mythos no se publique nunca, espera que competidores —incluidos laboratorios chinos— lancen modelos con capacidades comparables en los próximos seis a doce meses. OpenAI ya ha respondido anunciando GPT-5.4-Cyber, un modelo enfocado en ciberseguridad defensiva.
Estamos ante un punto de inflexión. La carrera entre atacantes y defensores siempre ha existido, pero la IA acaba de comprimir el tiempo de reacción de meses a segundos. Anthropic ha optado por la transparencia y la restricción voluntaria, pero la pregunta que quedará flotando durante meses es si ese modelo de gobernanza privada será suficiente cuando —no si— modelos equivalentes lleguen a manos de actores maliciosos.