Claude Mythos se despliega en infraestructuras críticas de 15 países

Anthropic acaba de dar el mayor paso hasta ahora con su IA más potente. Project Glasswing suma 150 nuevas organizaciones y pone a Claude Mythos a escanear el código que mantiene en pie infraestructuras de las que dependen cientos de millones de personas. España está en la lista.

Anthropic anunció este martes la expansión internacional de Project Glasswing, la iniciativa conjunta con la industria que usa Claude Mythos para encontrar y parchear vulnerabilidades en infraestructuras críticas. Son unas 150 nuevas organizaciones repartidas en más de 15 países, que se suman a las 50 que ya tenían acceso desde principios de abril.

El movimiento llega un día después de que la compañía confirmara su solicitud confidencial de salida a bolsa, tras una ronda de 65.000 millones de dólares que la valora en casi un billón. Pero lo de hoy no va de dinero. Va de código.

🎬 Claude Mythos, Project Glasswing and AI cybersecurity risks — Canal: IBM Technology

Qué está pasando con Mythos

Claude Mythos es el modelo más potente que ha sacado Anthropic. Lo presentaron como capaz de identificar miles de vulnerabilidades zero-day en cuestión de semanas. No es un chatbot ni un asistente de productividad: es una herramienta ofensiva y defensiva diseñada para encontrar agujeros de seguridad que los humanos no ven.

En abril, 50 socios iniciales —incluido el gobierno de Estados Unidos— tuvieron acceso a la versión preview. Ahora la cifra se multiplica por cuatro.

Los nuevos sectores que entran en el programa son energía, agua, sanidad, telecomunicaciones y hardware. Según Anthropic, no estaban "bien representados" en la primera hornada. Y la razón de peso para incluirlos ahora es clara: "un ataque exitoso contra su código podría ser catastrófico". Para la mayoría de estos socios, la compañía estima que un ataque grave afectaría a más de 100 millones de personas.

Quién está dentro y dónde

Anthropic no ha publicado la lista completa. Pero el Financial Times ha confirmado varios nombres. Entre los nuevos participantes están Okta —el gigante estadounidense de gestión de identidad—, los surcoreanos Samsung, SK Hynix y SK Telecom, la OTAN desde su cuartel en Bruselas, y ENISA, la agencia de ciberseguridad de la Unión Europea.

Los países que ahora tienen organizaciones con acceso a Mythos son todos aliados de Estados Unidos: Australia, Canadá, Francia, Alemania, Italia, Suiza, Países Bajos, España, Bélgica, Suecia, India, Japón, Nueva Zelanda y Corea del Sur. También se menciona a la alianza de inteligencia Cinco Ojos entre los beneficiarios indirectos.

Que España esté en la lista tiene sentido. Las infraestructuras críticas europeas comparten cada vez más dependencias de código. Un fallo en una utility alemana puede tumbar servicios en Barcelona.

Diez mil vulnerabilidades en un mes

Los números que maneja Anthropic son difíciles de ignorar. En su fase inicial, Project Glasswing encontró más de 10.000 vulnerabilidades en apenas un mes. Mozilla, con Firefox como campo de pruebas, detectó cientos de brechas de seguridad en una fracción del tiempo que habría necesitado un equipo humano.

Pero hay un problema de ritmo. Varias empresas se han quejado de que no pueden seguir la velocidad a la que Mythos escupe hallazgos. Anthropic reconoce que algunas organizaciones han pedido ralentizar las notificaciones para tener tiempo de parchear una vulnerabilidad antes de recibir la siguiente.

La carrera contra OpenAI

Anthropic no está sola en esto. Desde que Mythos salió, OpenAI lanzó GPT-5.5-Cyber, su propio modelo enfocado en ciberseguridad, y ya lo está probando con un grupo amplio de partners. La diferencia es que OpenAI no ha impuesto las mismas restricciones de acceso.

Anthropic lo sabe y está corriendo. La empresa ha dicho que espera que otras compañías desarrollen modelos tan capaces como Mythos "pronto", y que por eso están acelerando los safeguard dentro de Project Glasswing. No es postureo: si un modelo así cayera en las manos equivocadas, el daño potencial es proporcional a su capacidad.

La propia Anthropic lo resume sin adornos: "los ciberataques podrían producirse con mucha más frecuencia y de formas mucho más impredecibles". Las medidas para prevenir el uso malicioso de estas capacidades, admite la compañía, todavía no existen. Ni las suyas ni las de nadie.

Lo que viene

El plan es seguir ampliando el acceso. No a cualquiera —Anthropic insiste en que la disponibilidad general de estas capacidades será gradual y solo cuando existan safeguards sólidos—, pero sí a más empresas y gobiernos. Parte de las funciones de Mythos acabarán llegando a los modelos comerciales de la compañía, aunque sin fecha confirmada.

Mientras tanto, Claude Mythos sigue funcionando como un detector de terremotos: encuentra las grietas antes de que tiemblen. La pregunta no es si esta tecnología será ubicua, sino si llegaremos a tener defensas antes de que alguien la use para atacar.