Proyecto Glasswing: la mayor coalición de ciberseguridad con IA jamás creada reúne a gigantes de la tecnología
Ciberseguridad nunca fue un tema sencillo, pero lo que está ocurriendo ahora cambia las reglas del juego de una forma que pocos esperaban.
Anthropic acaba de anunciar el Proyecto Glasswing, una iniciativa que reúne a algunos de los nombres más importantes de la tecnología mundial — AWS, Apple, Cisco, Google, Microsoft, NVIDIA, CrowdStrike, JPMorganChase, Broadcom, Palo Alto Networks y la Linux Foundation — en torno a un objetivo común: usar inteligencia artificial para proteger el software crítico que mantiene al mundo en funcionamiento.
El detonante de todo esto fue un modelo aún no lanzado llamado Claude Mythos Preview, y lo que es capaz de hacer con las vulnerabilidades de software es, como mínimo, impresionante — y al mismo tiempo preocupante. 🔍
Estamos hablando de una IA que encontró fallos con décadas de existencia en sistemas que millones de personas usan todos los días, de forma autónoma, sin ninguna orientación humana durante el proceso.
La pregunta que queda en el aire es: si una IA puede encontrar esas brechas antes que los atacantes, ¿qué pasa cuando esa misma tecnología caiga en las manos equivocadas?
Es exactamente ese equilibrio delicado entre oportunidad defensiva y riesgo real lo que el Proyecto Glasswing intenta afrontar — y entender cómo funciona esto en la práctica es lo que vas a encontrar en los siguientes párrafos. 👇
Lo que Claude Mythos Preview encontró — y por qué asustó a todo el mundo
Antes de entrar en los detalles del Proyecto Glasswing en sí, vale la pena entender qué motivó su creación con tanta urgencia. El Claude Mythos Preview es un modelo de frontera de propósito general que fue puesto a analizar bases de código ampliamente utilizadas en todo el mundo, y los resultados superaron lo que los propios ingenieros de Anthropic esperaban. El modelo identificó miles de vulnerabilidades zero-day de alta severidad de forma completamente autónoma — sin recibir pistas, sin que un humano le indicara dónde buscar, sin ningún tipo de orientación durante la ejecución de la tarea. Simplemente leyó el código, comprendió la estructura lógica detrás de él y encontró las brechas por su cuenta.
Lo más perturbador no fue solo la capacidad de encontrar esos fallos, sino la naturaleza de los mismos. Algunas de esas vulnerabilidades existían desde hacía años — en ciertos casos, décadas — dentro de sistemas que forman parte de la infraestructura digital utilizada por bancos, hospitales, gobiernos y empresas de todos los tamaños. Los fallos fueron encontrados en todos los principales sistemas operativos y todos los principales navegadores web, además de una serie de otros programas ampliamente utilizados. No eran bugs oscuros escondidos en proyectos irrelevantes. Eran problemas reales, en software crítico, que simplemente nunca habían sido descubiertos porque la escala y la profundidad de análisis necesarias para encontrarlos estaban más allá de la capacidad humana convencional dentro de un plazo razonable.
Para ilustrar la gravedad de los descubrimientos, vale destacar tres ejemplos concretos compartidos por Anthropic:
- Una vulnerabilidad de 27 años en OpenBSD — un sistema operativo conocido por ser uno de los más seguros del planeta, utilizado en firewalls e en infraestructuras críticas. El fallo permitía que un atacante bloqueara remotamente cualquier máquina que ejecutara el sistema simplemente conectándose a ella.
- Un fallo de 16 años en FFmpeg — la biblioteca usada por innumerables programas para codificar y decodificar vídeo. El bug estaba en una línea de código que herramientas de prueba automatizada habían ejecutado cinco millones de veces sin jamás detectar el problema.
- Múltiples vulnerabilidades encadenadas en el kernel de Linux — el software que funciona en la mayor parte de los servidores del mundo. El modelo encontró y conectó varios fallos de forma autónoma para demostrar cómo un atacante podría escalar desde un acceso común de usuario hasta el control total de la máquina.
Todas estas vulnerabilidades ya fueron reportadas a los mantenedores de los respectivos programas y corregidas. Para muchos otros descubrimientos, Anthropic está publicando hashes criptográficos de los detalles en su blog de Red Team, con la divulgación completa prevista para después de que las correcciones estén implementadas.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
Esto plantea una cuestión que va directo al grano: si Claude Mythos Preview logró hacer esto en un entorno controlado, con intenciones claras de investigación defensiva, ¿qué impide que una herramienta con capacidades similares sea usada de forma ofensiva? La respuesta honesta es: muy poco, si no se hace nada. Y fue exactamente esa conciencia la que empujó a Anthropic a actuar rápidamente, transformando un descubrimiento técnico interno en una iniciativa global de ciberseguridad. 🛡️
El Proyecto Glasswing en la práctica: cómo funciona una coalición de gigantes
El Proyecto Glasswing no es simplemente un comunicado corporativo bonito lleno de logos de grandes empresas. La propuesta central es concreta: utilizar inteligencia artificial de forma coordinada para realizar auditorías profundas en software crítico de código abierto y en infraestructuras digitales ampliamente utilizadas, identificando vulnerabilidades antes de que agentes maliciosos lo hagan. La idea es crear una especie de escudo colectivo, donde cada organización participante contribuye con recursos, conocimiento y acceso a sistemas para que la IA pueda trabajar a escala global.
La participación de nombres como AWS, Google, Microsoft y Apple no es meramente simbólica. Estas empresas controlan partes enormes de la infraestructura digital mundial — desde servicios en la nube hasta sistemas operativos, pasando por plataformas de desarrollo y redes corporativas. Tenerlas dentro del mismo proyecto significa que el Glasswing tiene acceso a una visión integral de dónde están los puntos más frágiles del ecosistema tecnológico global. La presencia de la Linux Foundation, por su parte, es especialmente relevante porque gran parte del software crítico que hace funcionar al mundo — desde servidores hasta dispositivos embebidos — está basado en Linux y en proyectos de código abierto que históricamente enfrentan desafíos de mantenimiento y revisión de seguridad debido al volumen y complejidad del código.
Además de los socios de lanzamiento, Anthropic extendió el acceso al Claude Mythos Preview a un grupo de más de 40 organizaciones adicionales que construyen o mantienen infraestructura de software crítica, para que puedan usar el modelo para escanear y proteger tanto sistemas propios como de código abierto.
Inversión financiera y compromiso a largo plazo
En términos de inversión, Anthropic está poniendo dinero real sobre la mesa. La empresa comprometió hasta 100 millones de dólares en créditos de uso del Claude Mythos Preview para los participantes del Glasswing. Además, destinó 2,5 millones de dólares para Alpha-Omega y OpenSSF a través de la Linux Foundation, y 1,5 millones de dólares para la Apache Software Foundation, con el objetivo de ayudar a los mantenedores de software de código abierto a responder ante este escenario en transformación. La empresa también realizó 4 millones de dólares en donaciones directas a organizaciones de seguridad de código abierto.
Tras el período cubierto por los créditos de investigación, el Claude Mythos Preview estará disponible para los participantes a 25 dólares por millón de tokens de entrada y 125 dólares por millón de tokens de salida, con acceso a través de Claude API, Amazon Bedrock, Google Cloud Vertex AI y Microsoft Foundry.
Además de la identificación de fallos, el proyecto contempla un proceso estructurado de divulgación responsable, lo cual es fundamental en este contexto. Encontrar una vulnerabilidad crítica y simplemente publicarla sin dar tiempo a los mantenedores del software para corregir el problema sería irresponsable — y potencialmente catastrófico. El Glasswing establece protocolos para que los descubrimientos realizados por la IA sean comunicados de forma coordinada a los equipos responsables, garantizando que las correcciones lleguen a los usuarios antes de que la información sobre los fallos se haga pública. Esto es lo que diferencia una iniciativa seria de ciberseguridad de una simple demostración de capacidad tecnológica. 🔒
Lo que los socios están diciendo — y haciendo
Una de las partes más interesantes de este anuncio es que varios socios ya tuvieron acceso al Claude Mythos Preview durante algunas semanas antes de la divulgación pública, y sus relatos refuerzan la gravedad del momento.
Cisco afirmó que las capacidades de IA cruzaron un umbral que cambia fundamentalmente la urgencia necesaria para proteger la infraestructura crítica, y que los viejos métodos de fortificación de sistemas ya no son suficientes. AWS destacó que sus equipos ya están usando el modelo en bases de código críticas y que está ayudando a fortalecer el código de la empresa. Microsoft probó el Mythos Preview contra su benchmark de seguridad CTI-REALM y reportó mejoras sustanciales en comparación con modelos anteriores.
CrowdStrike aportó una perspectiva particularmente directa: el intervalo entre que una vulnerabilidad es descubierta y es explotada por un adversario se ha desplomado — lo que antes llevaba meses ahora ocurre en minutos con IA. Palo Alto Networks reforzó que estos modelos necesitan estar en manos de mantenedores de código abierto y defensores en todas partes, antes de que los atacantes obtengan acceso a capacidades equivalentes.
JPMorganChase enfatizó que promover la ciberseguridad y la resiliencia del sistema financiero es central para su misión, y que el Glasswing ofrece una oportunidad única de evaluar herramientas de IA de próxima generación para ciberseguridad defensiva. Google, por su parte, destacó sus propias inversiones en herramientas de IA para seguridad — como Big Sleep y CodeMender — y se comprometió a poner el Mythos Preview a disposición de los participantes a través de Vertex AI.
La Linux Foundation planteó un punto crucial: históricamente, la experiencia en seguridad fue un lujo reservado a organizaciones con grandes equipos especializados, mientras que los mantenedores de código abierto — cuyo software sostiene la mayor parte de la infraestructura crítica mundial — fueron dejados para descifrar la seguridad por su cuenta. El Glasswing ofrece un camino real para cambiar esa ecuación. 💡
Inteligencia artificial como herramienta de defensa: ¿oportunidad real o apuesta arriesgada?
Usar inteligencia artificial para resolver problemas de ciberseguridad no es una idea nueva. Herramientas basadas en machine learning ya se utilizan desde hace años para detectar comportamientos anómalos en redes, identificar intentos de phishing y analizar patrones de tráfico sospechoso. Lo que el Proyecto Glasswing aporta de diferente es la escala y la profundidad del análisis — estamos hablando de un modelo capaz de comprender contexto lógico complejo dentro de bases de código extensas, no solo de reconocer patrones superficiales. Esto supone un salto cualitativo enorme, y abre puertas que antes estaban cerradas para la defensa digital.
Los resultados de benchmark del Claude Mythos Preview refuerzan esa diferencia. El modelo alcanzó las puntuaciones más altas jamás registradas en diversas tareas de codificación de software, incluyendo SWE-bench Verified, SWE-bench Pro, SWE-bench Multilingual y Terminal-Bench 2.0. En CyberGym, un benchmark enfocado específicamente en reproducción de vulnerabilidades de ciberseguridad, la diferencia entre el Mythos Preview y el modelo anterior de Anthropic, Claude Opus 4.6, fue sustancial.
Por otro lado, es imposible ignorar la paradoja que este avance genera. La misma capacidad que hace valioso al Claude Mythos Preview para la defensa es lo que lo convierte en potencialmente peligroso en las manos equivocadas. Una IA capaz de encontrar vulnerabilidades en software crítico de forma autónoma es, por definición, una herramienta de ataque extremadamente poderosa si su uso no se controla. Este es el tipo de tecnología que los especialistas en seguridad llaman dual-use — sirve igualmente bien para proteger y para atacar, dependiendo de quién esté al mando. Y Anthropic lo sabe muy bien, lo que explica la urgencia en la creación de una coalición defensiva incluso antes de que el modelo sea lanzado públicamente.
Precisamente por eso, Anthropic no planea poner el Claude Mythos Preview a disposición del público general. El objetivo eventual es permitir que los usuarios utilicen modelos de clase Mythos con seguridad y a escala — tanto para ciberseguridad como para otros beneficios — pero solo después de avances en el desarrollo de salvaguardas que detecten y bloqueen las salidas más peligrosas del modelo. La empresa planea lanzar estas nuevas protecciones primero con un próximo modelo Claude Opus, lo que permitirá perfeccionarlas con un modelo que no presente el mismo nivel de riesgo que el Mythos Preview.
Lo que el Glasswing intenta hacer, en esencia, es garantizar que la carrera no sea ganada por los atacantes. En ciberseguridad existe un principio bien establecido: los defensores necesitan acertar todo el tiempo, mientras que los atacantes solo necesitan tener éxito una vez. La inteligencia artificial tiene el potencial de reequilibrar esa ecuación — pero solo si se despliega de forma coordinada, con procesos claros y con la participación de quienes realmente controlan los sistemas más críticos. Es exactamente ese el razonamiento detrás de la elección de los socios del proyecto, y es lo que hace que esta iniciativa sea diferente de anuncios anteriores que se quedaron más en el papel que en la práctica. 🤝
Los próximos pasos: qué esperar del Proyecto Glasswing
El anuncio de hoy es solo el comienzo de un esfuerzo a largo plazo. Anthropic dejó claro que el trabajo se expandirá en alcance y continuará durante muchos meses. Los socios del proyecto compartirán información y buenas prácticas entre sí, y dentro de 90 días Anthropic publicará un informe público sobre lo aprendido, las vulnerabilidades corregidas y las mejoras que puedan divulgarse.
El trabajo de los socios debe enfocarse en tareas como detección local de vulnerabilidades, pruebas de caja negra en binarios, seguridad de endpoints y pruebas de penetración en sistemas. Anthropic también planea colaborar con organizaciones líderes en seguridad para producir un conjunto de recomendaciones prácticas sobre cómo las prácticas de seguridad deben evolucionar en la era de la IA, potencialmente cubriendo áreas como:
Herramientas que usamos a diario
- Procesos de divulgación de vulnerabilidades
- Procesos de actualización de software
- Seguridad de código abierto y cadena de suministro
- Ciclo de vida de desarrollo de software y prácticas de diseño seguro
- Estándares para industrias reguladas
- Escalamiento y automatización de triaje
- Automatización de aplicación de parches
La empresa también confirmó que mantiene conversaciones continuas con autoridades del gobierno de Estados Unidos sobre las capacidades ofensivas y defensivas del Claude Mythos Preview. La protección de infraestructura crítica es una prioridad de seguridad nacional para los países democráticos, y la aparición de estas capacidades cibernéticas es una razón más por la que EE.UU. y sus aliados necesitan mantener una ventaja decisiva en tecnología de IA.
El contexto mayor: por qué la urgencia tiene sentido
Para entender por qué tantas organizaciones se están moviendo tan rápido, es útil observar el panorama de ciberseguridad que ya existía antes del Glasswing. Los costes financieros globales del cibercrimen son difíciles de estimar con precisión, pero podrían estar en el rango de los 500 mil millones de dólares al año. Ataques a redes corporativas, sistemas de salud, infraestructura energética, centros de transporte y agencias gubernamentales ya han demostrado consecuencias graves en numerosas ocasiones.
En el escenario geopolítico, ataques patrocinados por estados como China, Irán, Corea del Norte y Rusia amenazan con comprometer la infraestructura que sostiene tanto la vida civil como la capacidad militar. Incluso ataques menores — contra hospitales individuales o escuelas — pueden causar daños económicos sustanciales, exponer datos sensibles y poner vidas en riesgo.
Históricamente, encontrar y explotar vulnerabilidades en software requería un nivel de experiencia que muy pocos profesionales poseían. Con los modelos de IA de frontera más recientes, el coste, el esfuerzo y el nivel de conocimiento necesarios para realizar ese tipo de trabajo han caído de forma dramática. Diez años después del primer DARPA Cyber Grand Challenge, los modelos de IA de frontera se están volviendo competitivos con los mejores humanos en encontrar y explotar vulnerabilidades. El ritmo de progreso sugiere que estas capacidades se van a proliferar rápidamente — potencialmente más allá de actores comprometidos con el uso responsable.
Qué significa esto para quienes usan tecnología en el día a día
Para la mayoría de las personas, toda esta discusión sobre vulnerabilidades, modelos de IA y coaliciones corporativas puede parecer alejada de la realidad cotidiana. Pero el impacto es mucho más cercano de lo que parece. El software crítico que el Glasswing pretende proteger incluye sistemas que procesan transacciones bancarias, gestionan historiales médicos, controlan infraestructuras de energía y comunicación, mantienen redes logísticas en funcionamiento y forman la base de prácticamente todos los servicios digitales que usamos a diario. Un fallo no corregido en esos sistemas no afecta solo a empresas — afecta a personas físicas, datos personales, dinero y, en casos extremos, la seguridad pública.
Además, el ritmo con el que nuevas vulnerabilidades son descubiertas y explotadas ha aumentado de forma consistente en los últimos años. Los equipos de seguridad humanos, por más competentes que sean, simplemente no pueden seguir el ritmo del volumen y la complejidad del código que necesita ser auditado. Es aquí donde la inteligencia artificial entra no como sustituta de los especialistas humanos, sino como un multiplicador de capacidad — permitiendo que equipos más pequeños realicen análisis que antes requerirían cientos de personas y meses de trabajo. El Glasswing es, en ese sentido, una apuesta a que la tecnología que creó parte del problema también puede ser la solución más eficaz para resolverlo.
El Proyecto Glasswing también busca inspirar un esfuerzo aún mayor. Anthropic invita a otros miembros de la industria de IA a sumarse al trabajo de establecer estándares para el sector. A medio plazo, la empresa sugiere que un organismo independiente de terceros — capaz de reunir organizaciones de los sectores público y privado — podría ser el hogar ideal para la continuidad de estos proyectos de ciberseguridad a gran escala.
El anuncio del Proyecto Glasswing marca un momento en el que la industria tecnológica parece estar tomándose en serio la responsabilidad colectiva por la ciberseguridad global. Si esta coalición se traducirá en resultados concretos en los próximos meses y años, solo el tiempo lo dirá — pero el hecho de que empresas normalmente competidoras estén sentándose a la misma mesa para enfrentar este desafío ya dice mucho sobre la gravedad de lo que está en juego. 🌐
