El pasado 7 de abril de 2026, Anthropic lanzó una bomba al mercado tecnológico. La compañía detrás de Claude anunció Claude Mythos Preview, un modelo de inteligencia artificial de nueva generación con capacidades tan avanzadas en ciberseguridad que sus propios creadores decidieron no hacerlo públicamente disponible. La reacción en Wall Street fue inmediata y brutal: <cite index="5-16,5-17">la venta masiva de valores de seguridad se extendió tanto a empresas de ciberseguridad clásicas como a las de nueva generación, con Palo Alto Networks perdiendo un 12% en tres sesiones</cite>. <cite index="9-22">CrowdStrike, a pesar de ser socio fundador del proyecto Glasswing de Anthropic, vio caer su acción un 11%</cite>. <cite index="17-1">Zscaler cedió un 8,8% tras una serie de rebajas de recomendación de analistas</cite>, mientras que <cite index="12-2">Okta se dejó un 13%</cite>.
El detonante no fue uno, sino dos. Primero, <cite index="5-5">en febrero de 2026, la llegada de Claude Code Security permitió a la IA escanear y parchear de forma autónoma fallos lógicos complejos en el código, desafiando directamente el modelo de negocio de los proveedores de seguridad de aplicaciones</cite>. Luego, el anuncio de Mythos multiplicó el miedo por diez. <cite index="5-6,5-7">La tensión llegó al punto de ruptura el 7 de abril cuando Anthropic anunció Mythos, reteniendo el modelo al público y revelando que poseía capacidades "superhumanas" para encadenar vulnerabilidades y eludir protocolos de seguridad modernos</cite>.
Qué es exactamente Claude Mythos
<cite index="3-10">Claude Mythos Preview es un modelo frontera de propósito general, aún no publicado, que evidencia un hecho crudo: los modelos de IA han alcanzado un nivel de capacidad de codificación que les permite superar a todos los humanos, salvo a los más expertos, a la hora de encontrar y explotar vulnerabilidades de software</cite>. Sus resultados en pruebas internas son difíciles de ignorar: <cite index="8-29,8-30,8-31">durante las pruebas internas, el modelo descubrió y explotó de forma autónoma vulnerabilidades de día cero en todos los principales sistemas operativos y navegadores, incluida una en OpenBSD que llevaba 27 años sin detectarse, y otra de 16 años en el códec H.264 de FFmpeg</cite>.
La evaluación independiente del AI Safety Institute del Reino Unido no hace más que confirmar la magnitud del salto cualitativo. <cite index="2-2">En tareas de nivel experto que ningún modelo era capaz de completar antes de abril de 2025, Mythos Preview tiene éxito el 73% de las veces</cite>. Y yendo más allá de los clásicos Capture the Flag, <cite index="2-18">Claude Mythos Preview es el primer modelo en resolver de principio a fin una simulación de ataque corporativo de 32 pasos, en 3 de sus 10 intentos</cite>.
Ante estos datos, Anthropic tomó la decisión sin precedentes de no publicar el modelo. <cite index="10-9">Es la primera vez en casi siete años que una compañía líder de IA retiene públicamente un modelo por motivos de seguridad</cite>. En su lugar, lanzó el Proyecto Glasswing, una alianza defensiva a la que <cite index="6-4">solo tienen acceso un grupo de 40 organizaciones, entre ellas Microsoft, Apple, Google, CrowdStrike y JPMorgan Chase, para que puedan usar la tecnología y mejorar su propia infraestructura de seguridad</cite>. <cite index="3-7">Anthropic ha comprometido 100 millones de dólares en créditos de uso del modelo para financiar el proyecto</cite>.
¿Está justificado el pánico bursátil?
La pregunta del millón —literalmente— es si las caídas bursátiles tienen sentido o si el mercado está sobreactuando. La respuesta honesta es que hay argumentos en los dos lados.
A favor de la preocupación, los datos técnicos de Mythos son genuinamente impresionantes. <cite index="8-33">Allí donde Claude Opus 4.6 solo desarrolló exploits funcionales de shell en JavaScript en dos de varios cientos de intentos sobre vulnerabilidades de Firefox, Mythos Preview lo consiguió 181 veces</cite>. <cite index="3-22">En las últimas semanas, el modelo ha identificado miles de vulnerabilidades de día cero, muchas de ellas críticas, en todos los grandes sistemas operativos y navegadores web</cite>. El coste de encontrar una de estas vulnerabilidades ha caído en picado: <cite index="5-25">con Claude Mythos, un exploit que antes requería meses de trabajo especializado puede identificarse por aproximadamente 20 dólares en costes de cómputo</cite>.
Pero los analistas más experimentados piden calma. Según Benzinga, la analista de Bank of America Madeline Brooks considera que la reacción del mercado está exagerada. <cite index="12-10,12-11,12-12">Claude Code Security se centra en el escaneo de código antes de su puesta en producción, lo que es relevante para la seguridad de aplicaciones, pero las plataformas de ciberseguridad modernas operan en tiempo real, monitorizando de forma continua endpoints, redes y entornos cloud</cite>. En la misma línea, el analista Shrenik Kothari, de Robert W. Baird, fue directo: <cite index="16-12,16-13">caracterizó el movimiento de mercado como una venta masiva impulsada por el pánico y la narrativa</cite>.
Hay además un límite técnico importante que el mercado parece estar ignorando. <cite index="2-27,2-28,2-29">Las pruebas del AISI señalan que las capacidades de Mythos se han demostrado en sistemas pequeños y débilmente defendidos, muy distintos de los entornos reales, que cuentan con defensas activas y herramientas de detección que las simulaciones no incluían</cite>. Además, <cite index="6-1">el propio blog de Anthropic reconoce que más del 99% de las vulnerabilidades encontradas por el modelo aún no han sido parcheadas</cite>, lo que evidencia que encontrar fallos es solo la mitad del problema: arreglarlos es otra historia.
El otro lado: razones para no ignorarlo
Sin embargo, sería un error hacer mutis por el foro. <cite index="3-15,3-16">Muchos fallos en el software pasan inadvertidos durante años porque encontrarlos y explotarlos ha requerido la pericia de unos pocos expertos; con los últimos modelos de IA frontera, el coste, el esfuerzo y el nivel de experiencia necesarios para lograrlo han caído de forma drástica</cite>. Eso tiene implicaciones directas para cualquier empresa que venda seguridad como servicio.
El CEO de CrowdStrike, George Kurtz, salió al paso en LinkedIn para defender el valor de su plataforma, argumentando que <cite index="13-10,13-11">una capacidad de IA que escanea código no reemplaza a Falcon ni a un programa de seguridad completo, pues la seguridad requiere una plataforma independiente y probada en batalla para detener brechas</cite>. Pero la paradoja es evidente: <cite index="4-7">CrowdStrike es miembro fundador del Proyecto Glasswing</cite>, lo que significa que está apostando por integrarse con la misma tecnología que, según el mercado, amenaza su negocio.
Esa paradoja define el momento que vive el sector. <cite index="5-9,5-10">A corto plazo, la industria de la ciberseguridad debe sobrevivir a la "crisis de parcheo" desencadenada por las revelaciones de Mythos, y se espera que las empresas pivoten hacia la "remediación autónoma", en la que la IA no solo detecta la amenaza, sino que escribe y despliega la solución sin intervención humana</cite>. Esa transición favorece a los grandes actores con escala de nube, pero deja en una posición más incómoda a los jugadores medianos que no tengan capacidad de integrar IA propia.
Lo que está claro es que el anuncio de Mythos no es solo una noticia de bolsa. Es el primer aviso real de que la IA ha cruzado un umbral en ciberseguridad que hasta ahora solo existía en los informes de prospectiva. La pregunta ya no es si el sector va a cambiar, sino a qué velocidad y quién sobrevivirá al cambio sin perder su propuesta de valor central.