Proyecto Glasswing: la mayor iniciativa de ciberseguridad de la era de la IA reúne a gigantes tecnológicos para proteger el software que sostiene el mundo
Ciberseguridad nunca fue un tema tan urgente como ahora.
La inteligencia artificial llegó a un punto en el que consigue hacer lo que solo los mejores especialistas humanos hacían, y lo hace de forma autónoma, a una escala y velocidad que ningún equipo de seguridad puede seguir. Durante años, la idea de que una máquina pudiera superar la capacidad analítica de un ingeniero de seguridad sénior sonaba a ciencia ficción. Hoy, esa realidad ya está ocurriendo, y no llegó avisando.
Es exactamente ese escenario el que motivó el nacimiento del Proyecto Glasswing, una iniciativa que reúne a algunos de los nombres más grandes de la tecnología mundial — AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, NVIDIA, Broadcom, JPMorganChase, Palo Alto Networks y Linux Foundation — liderados por Anthropic, para enfrentar de frente un problema que está creciendo más rápido de lo que las defensas tradicionales pueden responder. El nombre del proyecto ya dice mucho sobre la propuesta: glasswing, la mariposa de alas transparentes, representa la idea de hacer visible lo que estaba oculto, iluminar lo que estaba en las sombras, sacar a la superficie vulnerabilidades que el ojo humano simplemente no podía ver.
En el centro de todo esto está el Claude Mythos Preview, un modelo de frontera aún no lanzado públicamente que ya encontró miles de vulnerabilidades zero-day de alta severidad en todos los principales sistemas operativos y navegadores del mundo. Fallas que sobrevivieron durante décadas sin que ningún humano, ni millones de pruebas automatizadas, lograran detectar. Y el punto más importante aquí no es solo lo que este modelo encontró, sino lo que ese descubrimiento representa para el futuro de la seguridad digital.
Si la IA ya llegó a ese nivel, la pregunta que queda es: ¿quién va a llegar primero a las próximas vulnerabilidades, los defensores o los atacantes? Es esa carrera la que el Proyecto Glasswing quiere ganar, y lo que está en juego va mucho más allá de líneas de código. 🔐
Lo que el Proyecto Glasswing realmente propone
La propuesta central del Proyecto Glasswing va más allá de una simple alianza entre empresas de tecnología. Lo que se está construyendo aquí es una infraestructura colaborativa de defensa cibernética alimentada por inteligencia artificial, donde el objetivo no es solo encontrar fallas, sino crear un ecosistema capaz de identificar, clasificar, priorizar y reportar vulnerabilidades en software crítico de forma continua y a escala global. Esto representa un cambio de paradigma profundo en la forma en que el sector piensa la seguridad digital, pasando del modelo reactivo a un modelo esencialmente proactivo.
Durante décadas, la lógica de la ciberseguridad fue básicamente esta: alguien descubre una falla, la reporta, se desarrolla un parche y el ciclo empieza de nuevo. El problema es que ese ciclo siempre fue demasiado lento, especialmente cuando se considera que los agentes maliciosos también evolucionaron. Con herramientas de IA disponibles en el mercado, ataques automatizados, explotación masiva de vulnerabilidades conocidas e incluso descubrimiento autónomo de nuevas fallas por actores hostiles ya son una realidad documentada. El Glasswing surge justamente para invertir esa ecuación, poniendo la capacidad de descubrimiento proactivo del lado de los defensores.
El modelo Claude Mythos Preview, desarrollado por Anthropic, es el motor principal de esta iniciativa. A diferencia de herramientas convencionales de análisis estático de código o fuzzing tradicional, este modelo logra razonar sobre el comportamiento del software a un nivel más profundo, identificando patrones que escapan completamente de los enfoques automatizados existentes. Los primeros resultados ya fueron sorprendentes: vulnerabilidades en sistemas operativos ampliamente utilizados y en navegadores que conforman la columna vertebral de la internet moderna, fallas que existían desde hacía años, algunas por décadas, sin jamás haber sido detectadas. Esto no es un detalle menor. Es una evidencia concreta de que la IA está operando en un nivel de análisis completamente diferente al que había antes.
Los socios y la inversión detrás de la iniciativa
La lista de socios de lanzamiento del Proyecto Glasswing es impresionante por sí sola: Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks. Cada una de estas organizaciones aporta una experiencia específica que complementa a las demás, desde proveedores de infraestructura en la nube hasta líderes en seguridad de red, pasando por mantenedores de código abierto e instituciones financieras de escala global.
Pero el consorcio no se detiene en los socios de lanzamiento. Anthropic también extendió el acceso al Claude Mythos Preview a un grupo de más de 40 organizaciones adicionales que construyen o mantienen software de infraestructura crítica. Estas organizaciones pueden usar el modelo para escanear y proteger tanto sistemas propietarios como proyectos de código abierto, lo que amplía significativamente el alcance defensivo del proyecto.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
Desde el punto de vista financiero, Anthropic está comprometiendo hasta 100 millones de dólares en créditos de uso para el Claude Mythos Preview a lo largo de estos esfuerzos. Además, la empresa realizó donaciones directas de 2,5 millones de dólares para Alpha-Omega y OpenSSF a través de la Linux Foundation, y 1,5 millones de dólares para la Apache Software Foundation, totalizando 4 millones de dólares en donaciones directas para organizaciones de seguridad de código abierto. Esta inversión es particularmente importante porque muchos de los softwares más críticos del mundo son mantenidos por comunidades open source con recursos limitados, y históricamente esas comunidades quedaron solas a la hora de lidiar con cuestiones de seguridad.
Tras el período de investigación inicial, el Claude Mythos Preview estará disponible para los participantes a un costo de 25 dólares por millón de tokens de entrada y 125 dólares por millón de tokens de salida, con acceso por la API de Claude, Amazon Bedrock, Vertex AI de Google Cloud y Microsoft Foundry. 💰
Las vulnerabilidades que el Claude Mythos Preview ya encontró
Los resultados prácticos del Claude Mythos Preview son lo que realmente llama la atención en toda esta historia. En las últimas semanas, el modelo fue utilizado para identificar miles de vulnerabilidades zero-day, es decir, fallas que eran completamente desconocidas por los desarrolladores de los softwares afectados. Muchas de estas vulnerabilidades están clasificadas como críticas y afectan a todos los principales sistemas operativos y navegadores, además de una serie de otros softwares ampliamente utilizados.
Tres ejemplos específicos ilustran bien de lo que estamos hablando:
- Una falla de 27 años en OpenBSD: OpenBSD es conocido como uno de los sistemas operativos más blindados del mundo en términos de seguridad y se usa ampliamente para ejecutar firewalls y otras infraestructuras críticas. El Mythos Preview encontró una vulnerabilidad que permitía a un atacante tumbar remotamente cualquier máquina que ejecutara el sistema simplemente conectándose a ella. Veintisiete años sin que nadie lo notara.
- Una falla de 16 años en FFmpeg: FFmpeg es una biblioteca esencial utilizada por innumerables programas para codificar y decodificar video. La vulnerabilidad estaba en una línea de código que herramientas de pruebas automatizadas habían procesado cinco millones de veces sin jamás identificar el problema. Cinco millones de ejecuciones, ninguna detección, hasta que el Mythos Preview analizó el código.
- Escalamiento de privilegios en el kernel de Linux: El modelo encontró y encadenó de forma autónoma diversas vulnerabilidades en el kernel de Linux, el software que corre en la mayoría de los servidores del mundo, permitiendo que un atacante escalara de acceso común de usuario a control total de la máquina. Y lo hizo sin ningún direccionamiento humano.
Todas estas vulnerabilidades ya fueron reportadas a los mantenedores de los respectivos softwares y ya fueron corregidas. Para muchas otras fallas descubiertas, Anthropic publicó hashes criptográficos de los detalles en el blog del Frontier Red Team, y revelará las especificidades completas una vez que las correcciones estén implementadas. El hecho de que el modelo logró identificar casi todas estas vulnerabilidades y desarrollar exploits relacionados de forma totalmente autónoma, sin direccionamiento humano, es el dato que más impresiona en esta ecuación. 🤖
Por qué el software crítico es el objetivo prioritario
Cuando hablamos de software crítico, estamos hablando de sistemas que afectan directamente la vida de miles de millones de personas: sistemas operativos, navegadores, bibliotecas de código abierto ampliamente distribuidas, infraestructuras de nube, plataformas de comunicación y sistemas financieros. Una sola vulnerabilidad en este tipo de software puede tener un efecto cascada inmenso, comprometiendo no solo a un usuario o una empresa, sino a toda una cadena de dependencias tecnológicas.
Los costos globales del cibercrimen son difíciles de estimar con precisión, pero los datos indican que pueden estar en el rango de los 500 mil millones de dólares por año. Y las consecuencias van mucho más allá de lo financiero. Ya hemos visto ataques serios comprometiendo redes corporativas, sistemas de salud, infraestructura energética como el caso del Colonial Pipeline, aeropuertos y la seguridad de la información de agencias gubernamentales en diversos países. Ataques patrocinados por estados, provenientes de actores como China, Irán, Corea del Norte y Rusia, amenazan con comprometer la infraestructura que sostiene tanto la vida civil como la preparación militar. Incluso ataques menores, dirigidos a hospitales individuales o escuelas, causan daños económicos sustanciales, exponen datos sensibles y pueden poner vidas en riesgo.
El Proyecto Glasswing entiende que proteger este tipo de software es una prioridad de orden diferente. No estamos hablando de proteger una aplicación o un servicio específico. Estamos hablando de proteger los cimientos sobre los cuales toda la infraestructura digital moderna fue construida. Y es por eso que el consorcio formado por el proyecto reúne justamente a las empresas que desarrollan, mantienen y distribuyen estos sistemas.
La lógica aquí es simple y poderosa al mismo tiempo: si logras identificar y corregir vulnerabilidades en software crítico antes de que agentes maliciosos las encuentren y las exploten, efectivamente cambias el equilibrio de poder en la guerra cibernética. Y con un modelo de IA capaz de analizar millones de líneas de código en un tiempo que sería imposible para cualquier equipo humano, esa identificación proactiva deja de ser un objetivo ambicioso y pasa a ser una realidad operativa.
Lo que los socios están diciendo sobre los resultados
Los socios que ya tuvieron acceso al Claude Mythos Preview en las últimas semanas compartieron impresiones que refuerzan la gravedad del momento y la relevancia del proyecto.
El CEO de Cisco destacó que las capacidades de la IA cruzaron un límite que cambia fundamentalmente la urgencia necesaria para proteger la infraestructura crítica, y que no hay vuelta atrás. Según él, el trabajo inicial con estos modelos mostró que es posible identificar y corregir vulnerabilidades de seguridad en hardware y software a un ritmo y escala que antes eran imposibles.
AWS resaltó que sus equipos analizan más de 400 billones de flujos de red por día en busca de amenazas, y que la IA es central para su capacidad de defensa a escala. Ya están probando el Mythos Preview en sus propias operaciones de seguridad y aplicándolo a bases de código críticas.
Microsoft mencionó que, cuando fue probado contra el CTI-REALM, su benchmark de seguridad de código abierto, el Claude Mythos Preview mostró mejoras sustanciales en comparación con modelos anteriores. Igor Tsyganskiy, VP Ejecutivo de Ciberseguridad y Microsoft Research, enfatizó la oportunidad sin precedentes de usar IA de forma responsable para mejorar la seguridad y reducir riesgos a escala.
CrowdStrike señaló que la ventana entre el descubrimiento de una vulnerabilidad y su explotación por un adversario colapsó completamente: lo que antes tardaba meses ahora ocurre en minutos con IA. George Kurtz, presidente de la empresa, destacó que el Mythos Preview demuestra lo que ahora es posible para defensores a escala, y que los adversarios inevitablemente buscarán explotar las mismas capacidades.
Palo Alto Networks confirmó que, en las últimas semanas, usó el modelo para identificar vulnerabilidades complejas que modelos de generaciones anteriores simplemente no podían encontrar. E lanzó una alerta directa: todos necesitan prepararse para atacantes asistidos por IA, porque habrá más ataques, ataques más rápidos y ataques más sofisticados.
La importancia del código abierto en esta ecuación
Un aspecto fundamental del Proyecto Glasswing que merece un destaque especial es la atención dedicada al ecosistema open source. Jim Zemlin, director ejecutivo de la Linux Foundation, planteó la cuestión de forma directa: históricamente, la experiencia en seguridad fue un lujo reservado a organizaciones con grandes equipos de seguridad, mientras que los mantenedores de código abierto, cuyo software sirve de base para buena parte de la infraestructura crítica mundial, fueron dejados para resolver la seguridad por su cuenta.
Considerando que el software de código abierto compone la gran mayoría del código en sistemas modernos, incluyendo los propios sistemas que agentes de IA usan para escribir nuevo software, dar acceso a estos mantenedores a modelos de IA capaces de identificar y corregir vulnerabilidades proactivamente y a escala representa un cambio real en la ecuación. La seguridad aumentada por IA puede convertirse en un aliado confiable para cada mantenedor, no solo para quien puede pagar equipos de seguridad costosos.
Es por eso que las donaciones para Alpha-Omega, OpenSSF y Apache Software Foundation, sumadas al programa Claude for Open Source para mantenedores que quieran solicitar acceso, son tan significativas en este contexto. Representan un reconocimiento práctico de que proteger el código abierto es proteger la internet en su conjunto. 🌐
Los planes a largo plazo y los próximos pasos
El Proyecto Glasswing fue diseñado para crecer en alcance y continuar durante muchos meses. Los socios trabajarán en tareas como detección local de vulnerabilidades, pruebas de caja negra en binarios, protección de endpoints y pruebas de penetración en sistemas. Anthropic pretende compartir la mayor cantidad posible de aprendizajes para que otras organizaciones puedan aplicar las lecciones a su propia seguridad.
Dentro de 90 días, Anthropic publicará un informe sobre lo aprendido, las vulnerabilidades corregidas y las mejoras realizadas que puedan ser divulgadas. Además, la empresa colaborará con organizaciones líderes en seguridad para producir un conjunto de recomendaciones prácticas sobre cómo las prácticas de seguridad deben evolucionar en la era de la IA. Entre los temas previstos están:
- Procesos de divulgación de vulnerabilidades
- Procesos de actualización de software
- Seguridad de código abierto y cadena de suministro
- Ciclo de vida de desarrollo seguro y prácticas secure-by-design
- Estándares para industrias reguladas
- Triaje a escala y automatización
- Automatización de parches
Anthropic también informó que ha mantenido conversaciones con autoridades del gobierno de los Estados Unidos sobre el Claude Mythos Preview y sus capacidades cibernéticas ofensivas y defensivas. La empresa reconoce que proteger la infraestructura crítica es una prioridad de seguridad nacional para países democráticos y que la emergencia de estas capacidades cibernéticas es una razón más para que EE.UU. y sus aliados mantengan un liderazgo decisivo en tecnología de IA.
Herramientas que usamos a diario
Un punto importante: Anthropic no planea poner el Claude Mythos Preview a disposición del público general. El objetivo eventual es permitir que modelos de la clase Mythos sean desplegados a escala con seguridad, pero para eso es necesario avanzar en el desarrollo de salvaguardas que detecten y bloqueen las salidas más peligrosas del modelo. La empresa planea lanzar nuevas salvaguardas con un futuro modelo Claude Opus, permitiendo refinarlas con un modelo que no presenta el mismo nivel de riesgo del Mythos Preview.
Lo que esto significa para el futuro de la seguridad digital
El Glasswing no es solo un proyecto de investigación o una iniciativa de relaciones públicas de las grandes empresas tecnológicas. Representa una apuesta concreta de que la inteligencia artificial puede ser la principal línea de defensa de la infraestructura digital global en los próximos años. Y esa apuesta tiene fundamento técnico sólido, especialmente considerando lo que ya fue demostrado por el Claude Mythos Preview antes incluso de cualquier lanzamiento público.
Pero existe una dimensión importante de esta historia que va más allá de la tecnología en sí. El hecho de que un consorcio tan diverso, reuniendo a competidores directos como Google, Apple y Microsoft en torno a un objetivo común, ya es una señal de que el sector reconoce que algunas amenazas son demasiado grandes para ser enfrentadas de forma aislada. Las vulnerabilidades en software crítico no tienen bandera corporativa, no respetan fronteras de mercado y no eligen víctimas por preferencia de marca. Cuando una falla de ese calibre es explotada, el impacto es colectivo, y la respuesta necesita ser colectiva también.
Diez años después del primer DARPA Cyber Grand Challenge, los modelos de IA de frontera se están volviendo competitivos con los mejores humanos en el descubrimiento y explotación de vulnerabilidades. Sin las salvaguardas necesarias, estas capacidades cibernéticas poderosas podrían ser usadas para explotar las muchas fallas existentes en el software más importante del mundo, haciendo que ciberataques de todo tipo sean mucho más frecuentes y destructivos.
Lo que se está construyendo con el Glasswing también establece un precedente importante para la forma en que la industria va a lidiar con el avance de las capacidades ofensivas de la IA. Si los modelos de lenguaje de frontera ya consiguen identificar fallas complejas en software crítico, es razonable asumir que agentes malintencionados van a buscar usar esa misma capacidad para encontrar y explotar esas fallas antes de que los parches lleguen. La carrera entre ofensa y defensa en la ciberseguridad siempre existió, pero con la IA en el juego, está ocurriendo a una velocidad y escala sin precedentes históricos. 🧠
Aunque los riesgos son serios, hay espacio para el optimismo: las mismas capacidades que hacen peligrosos a los modelos de IA en las manos equivocadas los vuelven invaluables para encontrar y corregir fallas en software importante, y para producir nuevo software con muchos menos bugs de seguridad.
El Proyecto Glasswing llega como una respuesta estructurada a esta nueva realidad, no como una solución definitiva, sino como el inicio de un enfoque que está a la altura del desafío que la inteligencia artificial plantea para la seguridad digital global.
La visión a mediano plazo incluye la posibilidad de crear un organismo independiente de terceros, capaz de reunir organizaciones de los sectores público y privado, como sede ideal para el trabajo continuo en estos proyectos de ciberseguridad a gran escala. Ninguna organización puede resolver estos problemas sola. Desarrolladores de IA de frontera, otras empresas de software, investigadores de seguridad, mantenedores open source y gobiernos de todo el mundo tienen roles esenciales que desempeñar.
Y esa es la parte más relevante de todo esto: por primera vez en mucho tiempo, la comunidad de defensa puede estar corriendo por delante. No por mucho, pero lo suficiente como para marcar la diferencia.
