Project Glasswing une a gigantes tecnológicos para transformar la ciberseguridad con IA que supera a los humanos en la caza de vulnerabilidades
El Project Glasswing llegó con una de las revelaciones más impactantes de los últimos años para el mundo de la ciberseguridad: una IA capaz de superar prácticamente a cualquier humano en la tarea de encontrar y explotar fallos de seguridad en software.
No es hype.
Es lo que Anthropic y una coalición de gigantes tecnológicos están afirmando públicamente, con evidencias concretas para respaldar cada palabra.
El modelo en cuestión es el Claude Mythos Preview, una versión frontier aún no lanzada al público, que ya identificó miles de vulnerabilidades zero-day críticas en prácticamente todos los sistemas operativos y navegadores más usados del mundo.
Para tener una idea del peso de esto, algunas de esas fallas sobrevivieron durante décadas sin ser detectadas, pasando por revisiones humanas y por millones de pruebas automatizadas sin que nadie las encontrara.
¿Qué cambió ahora?
La respuesta corta es: la inteligencia artificial llegó a un nivel de sofisticación que redefine completamente las reglas del juego, tanto para quien ataca como para quien defiende sistemas digitales.
Y es exactamente por eso que nombres como AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, Broadcom, NVIDIA, Palo Alto Networks, JPMorganChase y la Linux Foundation están del mismo lado de la mesa, unidos en torno a una iniciativa que mezcla urgencia real con una ambición bastante clara:
Poner ese poder en las manos de quienes defienden antes de que llegue a las manos de quienes atacan. 🛡️
Qué es el Project Glasswing y por qué importa tanto
El Project Glasswing no es solo otro programa de investigación de seguridad. Representa un punto de inflexión en la forma en que la industria tecnológica ve el papel de la IA dentro del ecosistema de ciberseguridad. La iniciativa fue estructurada con un objetivo central muy bien definido: usar modelos de lenguaje de última generación para encontrar, catalogar y corregir vulnerabilidades antes de que agentes maliciosos puedan explotarlas.
Lo que hace al proyecto diferente de todo lo que se intentó antes es la escala, la velocidad y, principalmente, la profundidad técnica con la que el Claude Mythos Preview consigue operar en estos entornos. Anthropic formó este consorcio tras observar capacidades en el modelo que, según la empresa, tienen el potencial de reformular completamente el panorama de la ciberseguridad global.
Durante las pruebas realizadas en el marco del proyecto, el Claude Mythos Preview fue expuesto a codebases reales, sistemas legacy e infraestructuras críticas que llevaban en producción años —en algunos casos, décadas—. El modelo no solo identificó fallas conocidas con una precisión fuera de lo común, sino que descubrió categorías enteras de vulnerabilidades que simplemente no estaban en el radar de los equipos de seguridad humanos.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
Esto incluye fallas en capas de memoria, comportamientos inesperados en estados de concurrencia y vectores de ataque que dependen de interacciones muy específicas entre diferentes partes de un sistema. Este es el tipo de cosa que cualquier revisor humano tardaría semanas en mapear, y aun así podría pasarla por alto.
Lo que llama aún más la atención es el hecho de que el Project Glasswing no fue pensado para operar de forma aislada. La idea central es crear una capa de inteligencia continua que funcione como un socio activo de los equipos de seguridad, ampliando la capacidad humana en vez de sustituirla. Esto cambia completamente la dinámica del trabajo de quienes se dedican a la defensa digital, porque significa que analistas e ingenieros de seguridad pasan a tener acceso a un sistema que piensa junto con ellos, sugiere hipótesis, prioriza amenazas y además documenta todo de forma estructurada para facilitar el proceso de remediación. 🔍
Claude Mythos Preview y la nueva frontera de las vulnerabilidades críticas
Cuando Anthropic dice que el Claude Mythos Preview consigue superar a los humanos en la identificación de vulnerabilidades, no está hablando de un margen pequeño. Los benchmarks internos del proyecto muestran que el modelo consigue procesar y analizar volúmenes de código que serían imposibles para cualquier equipo humano revisar en tiempo hábil, y lo hace con una tasa de detección que consistentemente supera los resultados de equipos especializados en seguridad ofensiva.
Ese dato por sí solo ya sería suficiente para llamar la atención, pero lo que realmente impresiona es la naturaleza de las fallas que están siendo encontradas.
Ejemplos concretos que demuestran el poder del modelo
Anthropic divulgó tres casos específicos que ilustran bien el nivel de profundidad técnica del Claude Mythos Preview:
- Vulnerabilidad de 27 años en OpenBSD — El modelo encontró una falla en uno de los sistemas operativos con la reputación de ser uno de los más seguros del mundo, ampliamente utilizado para correr firewalls y otras infraestructuras críticas. Esta vulnerabilidad permitía que un atacante derribara remotamente cualquier máquina ejecutando el sistema simplemente conectándose a ella.
- Vulnerabilidad de 16 años en FFmpeg — Esta biblioteca es usada por innumerables softwares para codificar y decodificar video. El bug encontrado por Mythos Preview estaba en una línea de código que herramientas automatizadas de prueba habían alcanzado cinco millones de veces sin nunca capturar el problema.
- Cadena de exploits en el kernel Linux — El modelo encontró y encadenó de forma autónoma múltiples vulnerabilidades en el kernel Linux, el software que corre la mayoría de los servidores del mundo, permitiendo que un atacante escalara de acceso común de usuario a control total de la máquina.
Todas estas vulnerabilidades ya fueron reportadas a los mantenedores responsables y debidamente corregidas. Para muchos otros descubrimientos, Anthropic está publicando hashes criptográficos de los detalles en el blog del Frontier Red Team, con la intención de revelar las especificidades después de que los parches sean aplicados.
Una parte significativa de las vulnerabilidades identificadas por el Claude Mythos Preview existía en sistemas que pasaron por cientos de auditorías a lo largo de los años. Algunas de ellas estaban enterradas en dependencias de terceros, en bibliotecas open source ampliamente utilizadas y en capas de abstracción que nadie solía revisar con profundidad porque parecían lo suficientemente estables. El modelo llegó a esas fallas a través de un enfoque que combina razonamiento sobre el comportamiento esperado del sistema con una exploración sistemática de estados límite — exactamente donde los bugs más peligrosos suelen esconderse.
Además, el Claude Mythos Preview demostró una capacidad que va más allá de la simple detección: consigue simular caminos de explotación completos. Es decir, no solo señala que una falla existe, sino que también modela cómo un agente externo podría utilizarla para comprometer un sistema. Este nivel de análisis es lo que los profesionales de ciberseguridad llaman threat modeling, una habilidad que normalmente exige años de experiencia práctica para ser desarrollada por un analista humano. Tener esto disponible a escala, operando continuamente y sin fatiga, es un cambio de paradigma real para el área. 🚨
Lo que los socios están diciendo sobre el modelo
Los socios del Project Glasswing ya tuvieron acceso al Claude Mythos Preview durante algunas semanas, y las primeras impresiones compartidas públicamente refuerzan la magnitud de lo que está sucediendo.
Cisco destacó que las capacidades de IA cruzaron un umbral que cambia fundamentalmente la urgencia necesaria para proteger infraestructuras críticas contra amenazas cibernéticas, afirmando que los viejos métodos de endurecimiento de sistemas ya no son suficientes.
AWS reveló que ya está probando el Mythos Preview en sus propias operaciones de seguridad, aplicándolo a codebases críticos, donde el modelo ya está ayudando a fortalecer el código. La empresa analiza más de 400 billones de flujos de red por día en busca de amenazas, y la IA es central para esa capacidad de defensa a escala.
Microsoft, por su parte, compartió que cuando fue probado contra el CTI-REALM, su benchmark de seguridad open source, el Claude Mythos Preview mostró mejoras sustanciales en comparación con modelos anteriores.
CrowdStrike trajo una alerta directa: la ventana entre que una vulnerabilidad es descubierta y es explotada por un adversario colapsó — lo que antes tomaba meses ahora sucede en minutos con IA.
La Linux Foundation enfatizó un punto crucial: la seguridad siempre fue un lujo reservado para organizaciones con grandes equipos. Los mantenedores de open source, cuyo software sostiene buena parte de la infraestructura crítica mundial, históricamente quedaron solos para resolver cuestiones de seguridad. El Project Glasswing ofrece un camino real para cambiar esa ecuación.
Palo Alto Networks llamó la atención sobre el hecho de que el modelo consiguió identificar vulnerabilidades complejas que generaciones anteriores de modelos simplemente no detectaron, y alertó que todos necesitan prepararse para atacantes asistidos por IA — serán más ataques, más rápidos y más sofisticados.
La coalición detrás de la iniciativa y lo que está en juego
Cuando empresas como AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, Broadcom, NVIDIA, Palo Alto Networks, JPMorganChase y la Linux Foundation se juntan en torno a una misma iniciativa, el mercado presta atención. Y en este caso, hace muy bien en prestarla.
Cada una de estas organizaciones llegó al Project Glasswing con intereses legítimos y muy concretos: todas ellas operan infraestructuras críticas que son blanco constante de ataques sofisticados, y todas ellas saben que la velocidad con la que el panorama de amenazas evoluciona está superando la capacidad de respuesta humana. La IA ya no es una apuesta a futuro en este contexto. Es una necesidad presente.
La participación de estas empresas también trae algo que va más allá del financiamiento y del prestigio. Cada una de ellas contribuyó con acceso a sistemas reales, datos de incidentes pasados e infraestructura de prueba que sería imposible replicar en un laboratorio convencional. Esto significa que el Claude Mythos Preview no fue entrenado y evaluado en entornos artificiales, sino expuesto a las mismas condiciones complejas, ruidosas e impredecibles que existen en los sistemas que cualquier usuario común utiliza todos los días — ya sea navegando en internet, usando una aplicación bancaria o simplemente encendiendo la computadora.
Además de los socios principales, Anthropic extendió el acceso a un grupo de más de 40 organizaciones adicionales que construyen o mantienen infraestructura de software crítica, para que puedan usar el modelo para escanear y proteger sistemas propietarios y open source.
Desde el punto de vista estratégico, lo que está en juego es la disputa por el control de la narrativa sobre cómo la IA se va a insertar en el mundo de la ciberseguridad. Porque esa inserción ya está sucediendo, con o sin estructura. Grupos malintencionados ya utilizan modelos de lenguaje para automatizar ataques, crear phishing más convincente y acelerar la explotación de vulnerabilidades conocidas. El Project Glasswing es, en esencia, una respuesta organizada y de alto nivel a esa realidad, con la ambición clara de garantizar que la defensa llegue a la vanguardia tecnológica antes de que el ataque consolide esa posición. ⚔️
La inversión detrás del proyecto y los planes para el futuro
Anthropic está poniendo recursos significativos sobre la mesa para garantizar que el Project Glasswing tenga alcance a largo plazo. La empresa comprometió hasta 100 millones de dólares en créditos de uso para el Claude Mythos Preview entre los socios y participantes adicionales. Además, destinó 4 millones de dólares en donaciones directas para organizaciones de seguridad open source — siendo 2,5 millones para Alpha-Omega y OpenSSF a través de la Linux Foundation, y 1,5 millones para la Apache Software Foundation.
Tras el período de investigación inicial cubierto por los créditos, el Claude Mythos Preview estará disponible para los participantes a 25 dólares por millón de tokens de entrada y 125 dólares por millón de tokens de salida. Los participantes pueden acceder al modelo por la API de Claude, por Amazon Bedrock, por Vertex AI de Google Cloud y por Microsoft Foundry.
Anthropic también definió un cronograma claro de transparencia: dentro de 90 días, la empresa publicará un informe sobre lo aprendido, incluyendo vulnerabilidades corregidas y mejoras realizadas que puedan ser divulgadas. Los socios también compartirán información y mejores prácticas entre sí en la medida de lo posible.
Áreas de enfoque para las recomendaciones del proyecto
Como parte de los resultados del Project Glasswing, Anthropic pretende colaborar con organizaciones líderes en seguridad para producir recomendaciones prácticas sobre cómo las prácticas de seguridad deben evolucionar en la era de la IA. Las áreas incluyen:
Herramientas que usamos a diario
- Procesos de divulgación de vulnerabilidades
- Procesos de actualización de software
- Seguridad de open source y cadena de suministro
- Ciclo de desarrollo de software y prácticas de diseño seguro
- Estándares para industrias reguladas
- Escala y automatización de triaje
- Automatización de parches
La empresa informó que no planea hacer el Claude Mythos Preview disponible al público general. El objetivo eventual es permitir que los usuarios puedan usar modelos de la clase Mythos a escala y de forma segura, tanto para ciberseguridad como para otros fines. Para ello, Anthropic necesita avanzar en el desarrollo de salvaguardas que detecten y bloqueen las salidas más peligrosas del modelo. Nuevas protecciones deberán lanzarse con una versión futura de Claude Opus, permitiendo el refinamiento con un modelo que no presente el mismo nivel de riesgo que el Mythos Preview.
El contexto más amplio: por qué la ciberseguridad nunca más será la misma
El software que todos usamos a diario — responsable de correr sistemas bancarios, almacenar historiales médicos, mantener redes logísticas funcionando y garantizar que centrales de energía sigan operando — siempre tuvo bugs. Muchos son pequeños, pero algunos representan fallas de seguridad graves que, si son descubiertas, pueden permitir que atacantes secuestren sistemas, interrumpan operaciones o roben datos.
Los costos financieros globales del cibercrimen son difíciles de estimar con precisión, pero pueden llegar a algo en torno a los 500 mil millones de dólares por año. Y ese es solo el componente financiero — los impactos en seguridad pública, salud, infraestructura crítica y soberanía nacional son incalculables.
Hasta hace poco, encontrar y explotar esas fallas exigía una expertise que poquísimas personas en el mundo poseían. Con los modelos frontier más recientes de IA, el costo, el esfuerzo y el nivel de expertise necesarios para encontrar y explotar vulnerabilidades de software cayeron dramáticamente. A lo largo del último año, modelos de IA se volvieron cada vez más eficaces en leer y razonar sobre código, mostrando una capacidad notable de identificar vulnerabilidades y descubrir formas de explotarlas.
Diez años después del primer DARPA Cyber Grand Challenge, modelos frontier de IA se están volviendo competitivos con los mejores humanos en encontrar y explotar vulnerabilidades. Sin las salvaguardas necesarias, estas capacidades poderosas podrían ser usadas para explotar las muchas fallas existentes en los softwares más importantes del mundo, haciendo que ciberataques de todo tipo sean mucho más frecuentes y destructivos.
Anthropic también reveló que ha mantenido conversaciones continuas con autoridades del gobierno de Estados Unidos sobre el Claude Mythos Preview y sus capacidades ofensivas y defensivas. La empresa refuerza que proteger infraestructuras críticas es una prioridad de seguridad nacional para países democráticos, y que la emergencia de estas capacidades es una razón más para que EE.UU. y sus aliados mantengan un liderazgo decisivo en tecnología de IA. 🌐
Qué cambia en la práctica para quienes trabajan con seguridad digital
Para los profesionales que actúan directamente en ciberseguridad, el Project Glasswing y el Claude Mythos Preview representan tanto una oportunidad como una señal de alerta. La oportunidad está clara: tener acceso a una herramienta que amplifica significativamente la capacidad de detección, análisis y respuesta a amenazas es algo que cualquier equipo de seguridad aprovecharía sin dudar.
La señal de alerta viene de la velocidad con la que esta tecnología está avanzando y de la necesidad de que los equipos evolucionen junto con ella. Entender cómo interpretar las salidas del modelo, cómo validar las hipótesis que plantea y cómo integrar este tipo de inteligencia en los flujos de trabajo existentes sin crear cuellos de botella o dependencias excesivas son habilidades que se van a volver indispensables.
En la dimensión más práctica, lo que el Claude Mythos Preview está demostrando dentro del proyecto es que el ciclo de descubrimiento y remediación de vulnerabilidades puede ser drásticamente comprimido. Procesos que solían tomar semanas entre la detección de una falla, la evaluación de su impacto, la priorización dentro del backlog y la implementación de una corrección pueden ser acelerados de forma significativa cuando una IA entra en el loop con capacidad de razonar sobre el problema en múltiples capas simultáneamente. Esto no elimina la necesidad de juicio humano, pero transforma profundamente el rol del analista dentro de ese proceso.
Las tareas previstas para el trabajo de los socios incluyen detección local de vulnerabilidades, pruebas black box de binarios, protección de endpoints y pruebas de penetración de sistemas — todas áreas donde la escala y la velocidad del modelo pueden hacer una diferencia real.
En resumen, lo que el Project Glasswing está señalando es que la era de la ciberseguridad reactiva — aquella en la que los equipos de defensa siempre van un paso detrás de los atacantes — puede finalmente estar llegando a su fin. Y si el Claude Mythos Preview entrega en producción lo que está entregando en las pruebas, el mercado de seguridad digital va a necesitar reorganizarse rápidamente en torno a una nueva realidad: la de que la mejor herramienta de ataque disponible ahora también es la mejor herramienta de defensa. 🔐
