Anthropic acaba de sacudir los cimientos de la ciberseguridad mundial. El pasado 7 de abril de 2026, la compañía de inteligencia artificial presentó Claude Mythos Preview, un modelo de propósito general que ha demostrado una capacidad sin precedentes para localizar fallos de seguridad en software crítico. Lo más llamativo: no va a ponerlo a disposición del público. En su lugar, ha creado Project Glasswing, una coalición defensiva con doce gigantes tecnológicos y financieros, para intentar parchear las grietas del internet global antes de que los atacantes puedan explotarlas.

El modelo, según la propia Anthropic, ha identificado miles de vulnerabilidades zero-day —es decir, fallos desconocidos incluso para los propios desarrolladores del software— en todos los grandes sistemas operativos, todos los principales navegadores web y una amplia gama de software crítico. Entre los hallazgos más impactantes figura un bug en OpenBSD que llevaba 27 años sin detectarse y otro en el software de procesamiento de vídeo FFmpeg que permanecía oculto desde hacía 16 años, a pesar de haberse ejecutado millones de veces. El modelo también logró encadenar varias vulnerabilidades del kernel de Linux para obtener acceso de superusuario, una hazaña que demuestra un nivel de autonomía operativa que, hasta ahora, era territorio exclusivo de los mejores investigadores de seguridad humanos.

Por qué Anthropic no lo hace público

La decisión de restringir el acceso a Mythos Preview no es un capricho comercial; es una medida de precaución que la propia empresa considera necesaria. Las mismas habilidades que permiten al modelo encontrar y parchear vulnerabilidades lo capacitan para explotarlas. Según ha explicado Logan Graham, responsable de investigación ofensiva en Anthropic, a NBC News, el modelo no solo identifica fallos de seguridad, sino que es capaz de escribir código para hackearlos y encadenar múltiples exploits para penetrar en sistemas complejos de forma autónoma.

Lo que resulta especialmente inquietante —y fascinante a partes iguales— es que Anthropic no entrenó específicamente a Mythos para tareas de ciberseguridad. Las capacidades emergieron como consecuencia directa de las mejoras generales en razonamiento, codificación y planificación autónoma. Si un modelo de propósito general puede alcanzar un nivel ofensivo de este calibre sin que nadie se lo proponga deliberadamente, la pregunta obvia es qué ocurrirá cuando otros laboratorios de IA alcancen capacidades similares en los próximos meses.

En el benchmark CyberGym, que evalúa agentes de IA en tareas de análisis de vulnerabilidades reales con 1.507 instancias procedentes de 188 proyectos de software, Mythos Preview obtiene un 83,1%. Para ponerlo en perspectiva, el anterior modelo líder, Claude Opus 4.6, alcanzaba un 66,6%. El salto es brutal y marca un antes y un después en lo que los modelos de IA pueden hacer en el terreno de la seguridad informática.

La coalición Glasswing: quién está y qué aporta

Project Glasswing —cuyo nombre hace referencia a la mariposa de alas transparentes Greta oto, como metáfora de las vulnerabilidades invisibles del software— reúne a un quién es quién de la industria tecnológica. Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, Nvidia y Palo Alto Networks son los socios fundadores. Además, más de 40 organizaciones adicionales que construyen o mantienen infraestructura de software crítico tendrán acceso al modelo para escanear y asegurar tanto sistemas propietarios como de código abierto.

Anthopic ha comprometido hasta 100 millones de dólares en créditos de uso para estos socios, según informa CNBC, junto con 4 millones adicionales en donaciones directas a organizaciones de seguridad de código abierto. La financiación se desglosa, según IBM, en 2,5 millones para Alpha-Omega y la Open Source Security Foundation a través de la Linux Foundation, y 1,5 millones para la Apache Software Foundation.

El enfoque es claro: el software de código abierto constituye la inmensa mayoría del código en los sistemas modernos, incluidos los propios sistemas que los agentes de IA utilizan para escribir nuevo software. Sin embargo, sus mantenedores históricamente han carecido de los recursos de seguridad que sí tienen las grandes corporaciones. Glasswing pretende cambiar esa ecuación poniendo herramientas de nivel frontera al servicio de quienes sostienen la infraestructura digital del planeta.

El dilema del doble uso: defensores contra atacantes

Aquí es donde la historia se pone realmente tensa. Según el informe CrowdStrike 2026 Global Threat Report, los ataques protagonizados por adversarios que utilizan IA crecieron un 89% interanual. Anthropic es plenamente consciente de que las mismas capacidades que convierten a Mythos en un defensor de élite pueden transformarlo en el arma perfecta para atacantes sofisticados.

De hecho, la compañía ya ha sufrido las consecuencias. En noviembre de 2025, Anthropic reveló que un grupo vinculado al estado chino utilizó una versión anterior de Claude para automatizar ataques contra objetivos gubernamentales y corporativos. Con Mythos, el riesgo se multiplica exponencialmente.

La gravedad de la situación ha trascendido el ámbito tecnológico. Según CNBC, el presidente de la Reserva Federal, Jerome Powell, y el secretario del Tesoro, Scott Bessent, convocaron a los CEO de los principales bancos estadounidenses para analizar las implicaciones de ciberseguridad que plantea el modelo. Cuando las máximas autoridades económicas de Estados Unidos organizan una reunión urgente por un modelo de IA, la señal es difícil de ignorar.

Anthropic también ha mantenido conversaciones con la CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU.) y el Centro para Estándares e Innovación en IA sobre las capacidades del modelo. Todo ello en un contexto político complicado: la empresa mantiene un pulso abierto con el Departamento de Defensa, que la ha catalogado como riesgo para la cadena de suministro de seguridad nacional por su negativa a permitir el uso sin restricciones de su tecnología con fines bélicos.

Qué significa esto para el futuro cercano

La perspectiva que ofrece Mythos Preview es, al mismo tiempo, esperanzadora y preocupante. Esperanzadora porque demuestra que la IA puede convertirse en el mejor auditor de seguridad del planeta, encontrando en semanas lo que equipos humanos de élite no han detectado en décadas. Preocupante porque, como advierte la propia Anthropic, otros laboratorios están probablemente a meses de alcanzar capacidades comparables, y la proliferación de estas herramientas a actores con intenciones maliciosas es una cuestión de cuándo, no de si.

Anthropic ha anticipado que planea lanzar nuevas salvaguardas junto con un próximo modelo Claude Opus, lo que le permitiría mejorar y refinar los mecanismos de seguridad con un sistema que no presenta el mismo nivel de riesgo que Mythos Preview. El objetivo a largo plazo es habilitar el despliegue a escala de modelos de clase Mythos, no solo para ciberseguridad, sino para el amplio espectro de beneficios que estos sistemas ultracompetentes pueden aportar.

Para los equipos de seguridad de empresas grandes y pequeñas, para los mantenedores de proyectos open source que sostienen internet con presupuestos raquíticos, y para cualquier organización que dependa de software —es decir, todas—, el mensaje de Glasswing es urgente: la ventana para reforzar defensas antes de que estas capacidades se generalicen es estrecha. La IA ya no es solo una herramienta que ayuda a escribir código; ahora puede romperlo con una eficacia que obliga a replantearse la ciberseguridad desde los cimientos.

Como resume la propia Anthropic en su anuncio: nadie puede resolver estos problemas en solitario. Desarrolladores de IA frontera, empresas de software, investigadores de seguridad, mantenedores de código abierto y gobiernos de todo el mundo tienen un papel esencial. El trabajo de defender la infraestructura digital podría llevar años, pero las capacidades de la IA avanzan a un ritmo de meses. Para que los defensores ganen la partida, hay que actuar ya.