El 22 de mayo de 2026 pasará a la historia de la ciberseguridad. Anthropic publicó los primeros resultados oficiales de Project Glasswing, su iniciativa para usar modelos de IA de frontera en la detección de vulnerabilidades de software crítico. Las cifras son difíciles de ignorar: más de 10.000 vulnerabilidades de severidad alta o crítica encontradas en solo un mes, repartidas entre los sistemas de sus 50 socios iniciales y más de 1.000 proyectos de código abierto.
Project Glasswing se anunció en abril como un esfuerzo colaborativo para asegurar el software más importante del mundo antes de que modelos de IA cada vez más capaces pudieran ser usados para atacarlo. Un mes después, los resultados superan cualquier expectativa razonable. Y plantean preguntas incómodas sobre el estado actual de la seguridad del software.
Las cifras clave
Cloudflare, uno de los socios de Glasswing, publicó su propio análisis el 18 de mayo. Su equipo de seguridad usó Mythos Preview para escanear el código de sus sistemas críticos y encontró 2.000 bugs, de los cuales 400 son de severidad alta o crítica. La tasa de falsos positivos fue menor que la de los testers humanos, según el equipo de Cloudflare.
No es un caso aislado. La mayoría de los socios de Glasswing han encontrado cientos de vulnerabilidades cada uno, y varios reportan que su tasa de detección de bugs se ha multiplicado por más de diez. Palo Alto Networks lanzó un parche con cinco veces más correcciones de lo habitual. Microsoft confirmó que el número de nuevos parches que publicarán seguirá creciendo durante los próximos meses. Oracle está encontrando y corrigiendo vulnerabilidades múltiples veces más rápido que antes.
En el frente del código abierto, Mythos Preview ha escaneado más de 1.000 proyectos que sustentan buena parte de internet. Ha identificado 23.019 vulnerabilidades en total, de las cuales 6.202 son de severidad alta o crítica. De las 1.752 que ya han sido verificadas por firmas de seguridad independientes, el 90,6% resultaron ser verdaderos positivos. Eso significa que, si la tasa se mantiene, Mythos estaría en camino de descubrir cerca de 3.900 vulnerabilidades críticas solo en código abierto.
Más allá de encontrar bugs
Project Glasswing no se limita a la detección de vulnerabilidades. Uno de los casos más llamativos ocurrió en un banco socio del programa: Mythos Preview ayudó a detectar y prevenir una transferencia fraudulenta de 1,5 millones de dólares. Un atacante había comprometido el correo electrónico de un cliente y estaba haciendo llamadas telefónicas suplantando su identidad. El modelo identificó inconsistencias en la solicitud que los sistemas tradicionales no captaron.
Esto abre la puerta a un uso mucho más amplio de estos modelos en seguridad: no solo para auditorías de código, sino para detección de fraudes, análisis de logs y respuesta a incidentes en tiempo real. Anthropic ha dejado claro que Glasswing es solo el principio.
El problema del cuello de botella
Hay un pero, y es importante. Anthropic lo dice con claridad en su informe: la capacidad de encontrar vulnerabilidades ya no es el cuello de botella. Ahora lo es la velocidad a la que se pueden verificar, notificar y parchear todas las que se encuentran.
Estamos en una situación donde la IA encuentra más bugs de los que los equipos de seguridad humanos pueden gestionar. Eso es bueno y malo a la vez. Bueno porque significa que el software crítico está recibiendo más atención que nunca. Malo porque cada vulnerabilidad no parcheada es una puerta abierta para los atacantes, y ahora sabemos que hay miles de puertas que no sabíamos que existían.
Anthropic ha adoptado un enfoque responsable: no divulga detalles de las vulnerabilidades hasta que los parches estén ampliamente desplegados. La política de divulgación coordinada de vulnerabilidades de la compañía establece ventanas de 90 días (o 45 días después del parche) antes de hacer públicos los hallazgos. Esto significa que lo que sabemos hoy es solo la punta del iceberg.
Qué significa esto para el futuro
Project Glasswing cambia las reglas del juego en ciberseguridad. Hasta ahora, la seguridad del software dependía de auditorías manuales, herramientas automatizadas limitadas y la buena voluntad de investigadores externos. Mythos Preview demuestra que un modelo de IA de frontera puede encontrar vulnerabilidades a una escala y velocidad que ningún humano puede igualar.
La pregunta que queda en el aire es quién más tiene acceso a modelos con capacidades similares. Anthropic ha sido transparente sobre Glasswing, pero si otros actores —estatales o criminales— tienen modelos equivalentes, el equilibrio entre ataque y defensa en ciberseguridad está a punto de cambiar de forma irreversible. De momento, Anthropic lleva la delantera en el lado de la defensa. Habrá que ver cuánto dura esa ventaja.