Proyecto Glasswing: la coalición multimillonaria que quiere usar IA para blindar el software más crítico del planeta
El Proyecto Glasswing llegó para cambiar las reglas del juego en ciberseguridad de una forma que pocos esperaban. Y cuando decimos pocos, estamos hablando de prácticamente todo el mundo, porque lo que ocurrió en las últimas semanas dentro de esta iniciativa desafía lo que la mayoría de los profesionales de seguridad consideraba posible con inteligencia artificial aplicada a código.
Imagina una inteligencia artificial que, en pocas semanas, encontró miles de fallos críticos en todos los grandes sistemas operativos y navegadores del mundo, incluyendo vulnerabilidades que llevaban décadas escondidas, pasando desapercibidas ante millones de pruebas automatizadas y años de revisión humana. Esto no es ciencia ficción, no es un concepto de laboratorio y tampoco es una exageración de comunicado corporativo. Es lo que ocurrió de verdad, en un proyecto que bien podría representar un antes y un después en la forma en que el mundo gestiona la seguridad digital.
Este es el Claude Mythos Preview, el modelo frontier de Anthropic que todavía no se ha lanzado al público, pero que ya está redefiniendo lo que la IA puede hacer en el campo de la seguridad digital. 🔍 El modelo opera con un nivel de razonamiento técnico tan avanzado que no solo identifica patrones sospechosos en el código, sino que también comprende el contexto, simula vectores de ataque y propone caminos de corrección con una precisión que impresionó incluso a los ingenieros más experimentados de las empresas involucradas en el proyecto.
Y la buena noticia es que, al menos por ahora, este poder se está usando para el bien.
Una coalición de peso para enfrentar un problema gigante
Anthropic reunió a algunos de los nombres más grandes de la tecnología global, como AWS, Apple, Broadcom, Google, Microsoft, Cisco, NVIDIA, CrowdStrike, Palo Alto Networks y JPMorganChase, además de la Linux Foundation, en torno a una misión clara: usar IA para encontrar y corregir fallos críticos antes de que alguien con malas intenciones lo haga primero. Esta no es una alianza superficial de relaciones públicas. Cada una de estas empresas puso sobre la mesa acceso a sistemas reales, infraestructuras críticas y equipos de seguridad altamente especializados, creando un entorno de colaboración que rara vez se ve en el sector tecnológico, especialmente cuando el asunto involucra vulnerabilidades sensibles.
El razonamiento detrás de esto es simple y aterrador al mismo tiempo. Si una IA ya puede superar a la mayoría de los especialistas humanos en encontrar y explotar vulnerabilidades de software, es solo cuestión de tiempo hasta que capacidades similares lleguen a las manos equivocadas. 😬 Y cuando eso ocurra, el mundo necesitará estar preparado, con parches aplicados, sistemas actualizados y defensas consolidadas. La ventana de oportunidad para actuar de forma proactiva es exactamente ahora, y el Proyecto Glasswing es la respuesta más concreta que ha surgido hasta hoy para este desafío.
Además de los socios de lanzamiento, Anthropic también extendió el acceso al Mythos Preview a un grupo de más de 40 organizaciones adicionales que construyen o mantienen infraestructura de software crítica. Estas empresas pueden usar el modelo para escanear y proteger tanto sistemas propietarios como proyectos de código abierto. Para hacer viable todo esto, Anthropic está comprometiendo hasta 100 millones de dólares en créditos de uso del Mythos Preview, además de 4 millones de dólares en donaciones directas para organizaciones de seguridad open-source, incluyendo 2,5 millones para Alpha-Omega y OpenSSF a través de la Linux Foundation, y 1,5 millones para la Apache Software Foundation.
Actuar ahora, de forma coordinada, puede ser la diferencia entre un futuro digital más seguro y un escenario de caos cibernético a escala global. La lógica es la misma de cualquier carrera tecnológica: quien llega primero define las reglas. Y en este caso, llegar primero significa identificar las brechas antes de que sean explotadas, corregir lo que se pueda corregir y documentar lo que aún represente riesgo, creando una base de conocimiento en ciberseguridad que va mucho más allá de lo que cualquier equipo humano podría producir por sí solo en años de trabajo continuo.
El panorama actual de la ciberseguridad y por qué la IA lo cambia todo
El software que todo el mundo usa a diario, desde sistemas bancarios y expedientes médicos hasta redes logísticas e de infraestructura energética, siempre tuvo bugs. Muchos son irrelevantes, pero algunos representan fallos graves de seguridad que, si son descubiertos por atacantes, permiten secuestrar sistemas, interrumpir operaciones y robar datos sensibles a escala masiva.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
Los ejemplos sobran. Los ciberataques ya causaron daños serios a redes corporativas, sistemas de salud como el caso de WannaCry que afectó al NHS británico, infraestructura energética como el ataque al Colonial Pipeline en Estados Unidos, aeropuertos en Europa y agencias gubernamentales en diversos países. En el escenario geopolítico, los ataques patrocinados por estados representan una amenaza constante para la infraestructura civil y militar. Incluso ataques menores, dirigidos a hospitales o escuelas individuales, logran causar un perjuicio económico sustancial, exponer datos sensibles y poner vidas en riesgo. Las estimaciones del coste financiero global del cibercrimen son difíciles de calcular con precisión, pero giran en torno a los 500 mil millones de dólares al año.
Muchos de estos fallos pasaban años sin ser detectados porque encontrarlos y explotarlos requería una experiencia que solo un puñado de especialistas en el mundo poseía. Con los modelos frontier de IA más recientes, el coste, el esfuerzo y el nivel de conocimiento necesario para descubrir y explotar vulnerabilidades de software han caído drásticamente. A lo largo del último año, los modelos de IA se volvieron cada vez más eficaces leyendo y razonando sobre código, mostrando una capacidad impresionante para identificar fallos y desarrollar formas de explotarlos. El Claude Mythos Preview representa un salto cualitativo en estas habilidades cibernéticas, encontrando vulnerabilidades que sobrevivieron a décadas de revisión humana y desarrollando exploits cada vez más sofisticados.
Diez años después del primer DARPA Cyber Grand Challenge, los modelos frontier de IA por fin están siendo competitivos con los mejores humanos en el descubrimiento y explotación de vulnerabilidades. Sin las salvaguardas necesarias, estas capacidades podrían usarse para explotar los muchos fallos existentes en el software más importante del mundo, haciendo que los ciberataques de todo tipo sean mucho más frecuentes y destructivos. 🛡️
Cómo opera Claude Mythos Preview en la práctica
El Mythos Preview no es un escáner común de vulnerabilidades. Las herramientas tradicionales de análisis de seguridad funcionan con base en firmas conocidas, patrones predefinidos y listas de CVEs ya catalogados. Son útiles, pero tienen un techo claro: no pueden razonar sobre lo que aún no se ha descubierto. El Claude Mythos Preview opera de forma completamente diferente. Analiza código como lo haría un ingeniero sénior, entendiendo intención, flujo de datos, interacciones entre componentes y posibles puntos de fallo que solo aparecen cuando combinas múltiples factores al mismo tiempo. Ese tipo de razonamiento encadenado es exactamente lo que le permite encontrar fallos que pasaron desapercibidos durante décadas.
Durante las pruebas realizadas en el contexto del Proyecto Glasswing, el modelo se aplicó sobre bases de código de sistemas operativos ampliamente utilizados y navegadores con miles de millones de usuarios activos. El resultado fue una lista extensa de vulnerabilidades zero-day, es decir, fallos que eran desconocidos por los propios desarrolladores del software y para los cuales no existía ninguna corrección disponible.
Tres ejemplos concretos ilustran bien el nivel de lo que se encontró:
- OpenBSD, 27 años de fallo oculto: El Mythos Preview encontró una vulnerabilidad con 27 años de antigüedad en OpenBSD, un sistema operativo con fama de ser uno de los más seguros del mundo, ampliamente usado para ejecutar firewalls y otras infraestructuras críticas. El fallo permitía que un atacante provocara un bloqueo remoto en cualquier máquina que ejecutara el sistema simplemente conectándose a ella.
- FFmpeg, 16 años y 5 millones de pruebas a ciegas: El modelo también descubrió una vulnerabilidad de 16 años en FFmpeg, la biblioteca utilizada por innumerables programas para codificar y decodificar vídeo. El fallo estaba en una línea de código que herramientas de prueba automatizada habían ejecutado cinco millones de veces sin jamás detectar el problema.
- Kernel Linux, cadena de exploits autónoma: De forma totalmente autónoma, el modelo encontró y encadenó varias vulnerabilidades en el kernel de Linux, el software que ejecuta la mayoría de los servidores del mundo, permitiendo que un atacante escalara desde acceso de usuario común hasta el control total de la máquina.
Todas estas vulnerabilidades fueron reportadas a los mantenedores de los respectivos softwares y ya recibieron correcciones. Para muchos otros fallos descubiertos, Anthropic publicó un hash criptográfico de los detalles y tiene la intención de revelar los datos completos una vez que los parches sean aplicados. El modelo logró identificar casi todas estas vulnerabilidades, y desarrollar muchos de los exploits relacionados, de forma totalmente autónoma, sin ninguna orientación humana. 🤯
Otro aspecto que llama la atención es la velocidad. Los equipos humanos de bug bounty y pentesting tardan semanas o meses en auditar un sistema complejo con profundidad real. El Mythos Preview logró hacerlo a escala, cubriendo múltiples sistemas simultáneamente, sin perder la granularidad del análisis. Esto no significa que los humanos hayan dejado de ser necesarios, todo lo contrario. Los ingenieros de seguridad de las empresas socias fueron fundamentales para validar los descubrimientos, contextualizar los riesgos y priorizar las correcciones. Lo que cambió es que la IA elevó el techo de lo posible en términos de cobertura y profundidad de análisis dentro de un mismo ciclo de trabajo. 🚀
Lo que dicen los socios
Las reacciones de las empresas involucradas en el Proyecto Glasswing dejan claro que el impacto del Mythos Preview va más allá del marketing institucional. Cada una de ellas aportó perspectivas prácticas que refuerzan la gravedad del momento.
Cisco destacó que las capacidades de la IA cruzaron un umbral que cambia fundamentalmente la urgencia necesaria para proteger infraestructura crítica, y que los métodos antiguos de endurecimiento de sistemas ya no son suficientes. AWS mencionó que ya está usando el Mythos Preview en sus propias operaciones de seguridad y aplicándolo en bases de código críticas, donde el modelo ya está ayudando a fortalecer el código. Microsoft, a través de su EVP de Ciberseguridad Igor Tsyganskiy, afirmó que el Mythos Preview mostró mejoras sustanciales respecto a modelos anteriores cuando se probó contra el CTI-REALM, el benchmark de seguridad open-source de la compañía.
CrowdStrike fue directo al señalar que la ventana entre que una vulnerabilidad es descubierta y es explotada por un adversario se ha colapsado, pasando de meses a minutos con la ayuda de la IA. La Linux Foundation resaltó que el proyecto ofrece un camino concreto para democratizar la seguridad en el ecosistema open-source, donde los mantenedores históricamente tuvieron que lidiar con cuestiones de seguridad en solitario. JPMorganChase destacó que el proyecto ofrece una oportunidad única para evaluar herramientas de IA de nueva generación para ciberseguridad defensiva. Y Google reforzó su compromiso con herramientas como Big Sleep y CodeMender, al tiempo que se mostró satisfecho de poner el Mythos Preview a disposición de los participantes a través de Vertex AI.
Palo Alto Networks y NVIDIA también contribuyeron con evaluaciones prácticas, con Palo Alto destacando que el modelo identificó vulnerabilidades complejas que modelos de generación anterior habían ignorado por completo, y advirtiendo que es necesario prepararse para atacantes asistidos por IA, con ataques más frecuentes, más rápidos y más sofisticados.
Rendimiento técnico y benchmarks
Las capacidades cibernéticas del Mythos Preview son resultado directo de sus habilidades avanzadas en codificación agéntica y razonamiento. En los benchmarks divulgados, el modelo alcanzó las puntuaciones más altas jamás registradas en una variedad de tareas de codificación de software, incluyendo SWE-bench Verified, Pro y Multilingual, SWE-bench Multimodal y Terminal-Bench 2.0. Las pruebas de ciberseguridad, como CyberGym, refuerzan la diferencia sustancial entre el Mythos Preview y el siguiente mejor modelo de Anthropic, Claude Opus 4.6.
En BrowseComp, el Mythos Preview puntuó por encima de Opus 4.6 mientras usaba 4,9 veces menos tokens. En Terminal-Bench 2.0, con límites de timeout extendidos a cuatro horas y usando las actualizaciones de Terminal-Bench 2.1, el modelo alcanzó un 92,1% de puntuación. Estos números no son solo mejoras incrementales. Representan un salto generacional en la capacidad de los modelos de lenguaje aplicados a tareas complejas de ingeniería de software y seguridad.
Más información sobre las capacidades del modelo, sus propiedades de seguridad y características generales puede encontrarse en el system card del Claude Mythos Preview, publicado por Anthropic.
Lo que está en juego para la ciberseguridad global
La inteligencia artificial aplicada a la ciberseguridad no es un concepto nuevo. Empresas del sector ya usan machine learning para detección de anomalías, clasificación de amenazas y respuesta automatizada a incidentes desde hace algunos años. Pero lo que el Proyecto Glasswing representa es algo cualitativamente diferente. Estamos hablando de un modelo capaz de razonamiento complejo, que entiende sistemas de software con una profundidad que va más allá de la estadística y los patrones históricos. Esto abre una nueva frontera, donde la IA no es solo una herramienta de apoyo, sino un agente activo en el descubrimiento de riesgos que todavía no están en el radar de nadie.
El impacto de esto para el ecosistema de seguridad es enorme. Las vulnerabilidades que quedan expuestas durante años sin ser descubiertas son el principal vector de ataques sofisticados, incluyendo aquellos atribuidos a grupos patrocinados por estados. Campañas de espionaje industrial, ransomware en infraestructuras críticas y compromisos a gran escala generalmente se apoyan exactamente en ese tipo de fallo silencioso, ese que nadie sabía que existía hasta que alguien lo explotó. Reducir ese inventario de vulnerabilidades desconocidas es, por tanto, una de las formas más efectivas de elevar el coste y la dificultad de los ciberataques de forma estructural, no solo reactiva.
Existe, por supuesto, otro lado de esta moneda que hay que tomar en serio. Si el Claude Mythos Preview puede encontrar fallos con esta eficiencia, un modelo con capacidades similares en manos de agentes maliciosos representaría un riesgo sin precedentes. Anthropic y sus socios son claramente conscientes de esto, y la propia estructura del Proyecto Glasswing existe, en parte, para crear una ventaja defensiva antes de que el escenario ofensivo se vuelva dominante. La empresa no planea poner el Mythos Preview a disposición del público general. El objetivo eventual es permitir que los usuarios utilicen modelos de la clase Mythos a escala y con seguridad, pero para eso será necesario avanzar en el desarrollo de salvaguardas que detecten y bloqueen los outputs más peligrosos del modelo. Anthropic planea lanzar nuevas salvaguardas con un futuro modelo Claude Opus, permitiendo refinarlas con un modelo que no presente el mismo nivel de riesgo del Mythos Preview. 🔐
Herramientas que usamos a diario
Los planes a largo plazo del Proyecto Glasswing
El anuncio de hoy es solo el comienzo de un esfuerzo a largo plazo. Los socios del Proyecto Glasswing recibirán acceso al Claude Mythos Preview para encontrar y corregir vulnerabilidades en sus sistemas fundacionales, que representan una proporción muy significativa de la superficie de ataque cibernético compartida del mundo. El trabajo debe concentrarse en tareas como detección local de vulnerabilidades, pruebas black box de binarios, protección de endpoints y pruebas de penetración en sistemas.
Tras el período cubierto por los créditos de uso, el Claude Mythos Preview estará disponible para los participantes a 25 dólares por millón de tokens de entrada y 125 dólares por millón de tokens de salida. Los participantes pueden acceder al modelo a través de Claude API, Amazon Bedrock, Google Cloud Vertex AI y Microsoft Foundry.
Anthropic pretende que el trabajo crezca en alcance y continúe durante muchos meses, compartiendo el máximo posible para que otras organizaciones apliquen las lecciones a su propia seguridad. Los socios compartirán, en la medida de lo posible, información y mejores prácticas entre sí. Dentro de 90 días, Anthropic publicará un informe sobre lo aprendido, incluyendo vulnerabilidades corregidas y mejoras que puedan ser divulgadas. La empresa también colaborará con organizaciones de seguridad líderes para producir un conjunto de recomendaciones prácticas sobre cómo las prácticas de seguridad deben evolucionar en la era de la IA, abarcando potencialmente:
- Procesos de divulgación de vulnerabilidades
- Procesos de actualización de software
- Seguridad de código abierto y cadena de suministro
- Ciclo de vida de desarrollo de software y prácticas de diseño seguro
- Estándares para industrias reguladas
- Escalabilidad y automatización de triaje
- Automatización de parcheo
Anthropic también ha mantenido conversaciones continuas con funcionarios del gobierno de Estados Unidos sobre el Claude Mythos Preview y sus capacidades cibernéticas ofensivas y defensivas. La empresa refuerza que proteger infraestructura crítica es una prioridad máxima de seguridad nacional para los países democráticos, y que la emergencia de estas capacidades cibernéticas es una razón más para que Estados Unidos y sus aliados mantengan un liderazgo decisivo en tecnología de IA.
Por qué este movimiento importa ahora
El timing del Proyecto Glasswing no es coincidencia. El sector de inteligencia artificial avanzó de forma acelerada en los últimos dos años, y los modelos frontier están llegando a un punto donde sus capacidades comienzan a cruzarse con áreas históricamente reservadas a especialistas altamente capacitados. La seguridad ofensiva es una de esas áreas. La comunidad de seguridad ya venía debatiendo, en foros especializados y conferencias como DEF CON y Black Hat, sobre el potencial de los modelos de lenguaje avanzados para automatizar el descubrimiento y la explotación de vulnerabilidades. Lo que Glasswing hace es transformar ese debate teórico en acción concreta, poniendo la capacidad ofensiva al servicio de la defensa de forma estructurada y coordinada.
Para las empresas socias, la participación en el proyecto también representa un reconocimiento claro de que el modelo actual de seguridad, basado principalmente en auditorías periódicas, programas de bug bounty y monitorización reactiva, ya no es suficiente para el nivel de sofisticación de las amenazas actuales. Integrar un modelo como el Mythos Preview en el ciclo de desarrollo y mantenimiento de software es un paso hacia una postura de seguridad genuinamente proactiva, donde los fallos se encuentran y corrigen antes de llegar a producción, y no después de que un incidente ya haya ocurrido.
La visión a largo plazo del proyecto incluye la posibilidad de que un organismo independiente y externo, capaz de reunir organizaciones de los sectores público y privado, sea el espacio ideal para dar continuidad a proyectos de ciberseguridad a gran escala como este. Anthropic invita a otros miembros de la industria de IA a sumarse al esfuerzo para ayudar a definir estándares para el sector.
Lo que el Proyecto Glasswing deja claro, por encima de todo, es que la inteligencia artificial ya cruzó una línea importante en términos de capacidad técnica aplicada a la ciberseguridad. El debate ya no es sobre si esto va a ocurrir, sino sobre cómo garantizar que este poder se dirija de forma responsable, con gobernanza adecuada, transparencia en los procesos y colaboración entre quienes construyen los sistemas, quienes los protegen y quienes desarrollan las herramientas de IA que van a moldear este nuevo escenario. La carrera ya comenzó, y el reloj corre para todos. 🌐
