La inteligencia artificial acaba de abrir un nuevo frente de batalla, y esta vez el campo de guerra es la ciberseguridad. OpenAI presentó el martes GPT-5.4-Cyber, una variante de su modelo insignia GPT-5.4 optimizada específicamente para casos de uso de ciberseguridad defensiva, apenas días después de que su rival Anthropic sacudiera al sector con el anuncio de Claude Mythos Preview. El movimiento no es casual: es la respuesta más clara hasta la fecha de que la carrera por dominar la IA aplicada a la seguridad digital ha entrado en una nueva fase.
Mythos primero: el modelo que asustó al sector
Anthropic afirmó que su nuevo modelo, oficialmente denominado Claude Mythos Preview, no estaba listo para un lanzamiento público porque resulta demasiado eficaz encontrando vulnerabilidades de alta gravedad en los principales sistemas operativos y navegadores web. No es exageración marketiniana: en las últimas semanas, Anthropic utilizó Mythos Preview para identificar miles de vulnerabilidades zero-day —es decir, fallos previamente desconocidos para los desarrolladores del software— muchas de ellas críticas, en todos los grandes sistemas operativos y en todos los principales navegadores. El hallazgo más llamativo fue un fallo en OpenBSD de 27 años de antigüedad, un sistema operativo conocido precisamente por su robustez en materia de seguridad.
Para gestionar este poder sin soltarlo al mundo entero, Anthropic puso en marcha el Proyecto Glasswing. El modelo solo estará disponible para un grupo de 40 organizaciones, entre ellas grandes tecnológicas como Microsoft, Apple y Google, la firma de ciberseguridad CrowdStrike y el banco JPMorgan Chase, para que lo usen en mejorar su propia infraestructura de seguridad. Además, Anthropic comprometió hasta 100 millones de dólares en créditos de uso para Mythos Preview dentro de estos esfuerzos, así como 4 millones de dólares en donaciones directas a organizaciones de seguridad de código abierto.
El Instituto de Seguridad de la IA del Reino Unido (AISI) evaluó de forma independiente las capacidades del modelo y sus conclusiones son reveladoras: en tareas de nivel experto —que ningún modelo podía completar antes de abril de 2025— Mythos Preview tiene éxito el 73% de las veces. Aún más inquietante: se convirtió en el primer modelo de IA en completar una simulación de ataque a una red corporativa de 32 pasos, de principio a fin, sin asistencia humana.
GPT-5.4-Cyber: la respuesta de OpenAI
El 14 de abril de 2026, OpenAI lanzó oficialmente GPT-5.4-Cyber, una variante ajustada de GPT-5.4 con un enfoque de "ciberseguridad permisiva", diseñada específicamente para labores de defensa. La principal diferencia respecto al modelo estándar está en sus restricciones: el nuevo modelo ha sido construido para reducir las barreras de rechazo ante tareas legítimas de ciberseguridad y añade capacidades no disponibles en la versión estándar de GPT-5.4. La más destacada de ellas es la ingeniería inversa de binarios, una función que permite a los profesionales de seguridad analizar software compilado en busca de malware, vulnerabilidades y debilidades sin necesidad de acceder al código fuente.
OpenAI es consciente de que una herramienta así no puede estar al alcance de cualquiera. Por eso, el acceso a GPT-5.4-Cyber pasa por su programa Trusted Access for Cyber (TAC). El programa TAC fue lanzado por OpenAI en febrero junto con un fondo de subvenciones de 10 millones de dólares en ciberseguridad. Ahora, la compañía está ampliando ese programa a miles de defensores individuales autenticados y cientos de equipos responsables de proteger software crítico. El programa incorpora un sistema de verificación por niveles, siendo el nivel más alto el que desbloquea el acceso a GPT-5.4-Cyber.
La estrategia de OpenAI parece querer diferenciarse de Anthropic en un punto concreto: el acceso. OpenAI intenta enmarcar el acceso limitado de Mythos como una desventaja y promete una solución más "democratizada", aunque GPT-5.4-Cyber tampoco estará disponible para cualquiera. Por ahora, OpenAI no está ofreciendo acceso a GPT-5.4-Cyber a agencias gubernamentales de EE.UU., aunque la compañía confirmó que mantiene conversaciones en curso y evaluará el acceso a través de sus procesos internos de gobernanza y revisión de seguridad.
Qué cambia para empresas y usuarios
La competencia entre los dos gigantes de la IA en este nicho tiene implicaciones directas para cualquier empresa que gestione infraestructura digital. Mythos representa un salto en la capacidad de encontrar vulnerabilidades críticas de forma autónoma a una velocidad y escala que supera cualquier capacidad anterior, y "la ventana entre el descubrimiento y la weaponización se ha reducido a horas", según el análisis de la Cloud Security Alliance.
Sin embargo, no todo el sector comparte el mismo nivel de alarma. Expertos como David Lindner, CISO de Contrast Security, señalan que detectar vulnerabilidades es más sencillo que parchearlas, y que según el propio blog de Anthropic sobre Mythos, más del 99% de los fallos descubiertos por el modelo aún no han sido corregidos. El riesgo real, por tanto, no es solo que la IA encuentre los agujeros: es que el ritmo de parcheado humano no pueda seguir el ritmo de la IA. La capacidad de Mythos Preview para escribir exploits de forma autónoma implica que los ciclos de parcheo tendrán que acortarse, y Anthropic advierte que los administradores deben tratar las actualizaciones de seguridad con urgencia, no como mantenimiento rutinario.
Para las empresas españolas y europeas, el horizonte temporal es relevante: Anthropic estima que modelos con capacidades similares podrían aparecer en otras compañías en un plazo de 6 a 18 meses, lo que significa que la ventana para reforzar defensas antes de que estas herramientas se generalicen es estrecha. La batalla entre OpenAI y Anthropic puede parecer cosa de titanes tecnológicos, pero sus efectos llegarán a los equipos de seguridad de cualquier organización que dependa del software, que hoy en día es prácticamente cualquiera.