Anthropic asegura haber identificado más de 10.000 vulnerabilidades críticas gracias a su modelo de inteligencia artificial (IA) para ciberseguridad Claude Mythos Preview, que ya ha ayudado a compañías como Claudflare, Mozilla o Microsoft, y que comenzará a ofrecer algunas de sus herramientas de seguridad a clientes que cumplan sus requisitos.

La compañía presentó Claude Mythos a principios de abril en el marco de su iniciativa de ciberseguridad Proyecto Glasswing, para proteger el 'software' más crítico del mundo, con el objetivo de identificar vulnerabilidades de alta gravedad en todos los principales sistemas operativos y navegadores web.

Desde entonces, Anthropic y sus socios han estado utilizando el modelo Claude Mythos Preview para detectar vulnerabilidades de gravedad alta o crítica en distintos 'softwares'. Como resultado, la tecnológica ha afirmado que han hallado más de 10.000 vulnerabilidades de estas características en diferentes servicios.

Así lo ha detallado en un comunicado en su blog, donde ha matizado que, tras un mes de uso de este modelo, la mayoría de los socios han detectado cientos de vulnerabilidades críticas o de alta gravedad y, varios, han detectado que su tasa de detección de errores se ha multiplicado por más de diez.

En el caso de Cloudflare, ha detallado que ha encontrado 2.000 errores en sus sistemas críticos utilizando Claude Mythos, 400 de ellos de alta o crítica gravedad, y con una tasa de falsos positivos que la compañía considera "mejor que la de los evaluadores humanos".

Siguiendo esta línea, Mozilla ha señalado que ha descubierto y corregido 271 vulnerabilidades en Firefox 150 durante sus pruebas con Mythos Preview. Esto es, diez veces más fallos que los que encontraron en Firefox 148 con Claude Opus 4.6.

Otro ejemplo de las capacidades del modelo lo ha ofrecido el Instituto de Seguridad de IA del Reino Unido, que ha informado de que Mythos Preview es "el primer modelo capaz de resolver de principio a fin sus escenarios cibernéticos", que se basan en situaciones de ciberataques en múltiples etapas.

Mythos Preview también ha resaltado en otro tipo de tareas de ciberseguridad. Según ha destacado la compañía, fue capaz de detectar y prevenir una transferencia bancaria fraudulenta de 1,5 millones de dólares en uno de los bancos asociados al proyecto Glasswing, después de que un ciberdelincuente comprometiera la cuenta e correo electrónico de un cliente y realizara llamadas telefónicas fraudulentas.

Impulsando las correcciones de vulnerabilidades

Así, la capacidad de identificar más vulnerabilidades de forma más rápida y precisa permite que las compañías que sostienen dicho 'software' las verifiquen, divulguen y corrijan también de forma más ágil. Como resultado, facilita que los usuarios finales actualicen su 'software' antes de que los atacantes puedan explotar una vulnerabilidad.

Esto se puede ver en compañías como Microsoft, que ha detallado recientemente en su actualización de seguridad de mayo que sus próximas actualizaciones "seguirán aumentando de tamaño durante un tiempo", debido a que las herramientas de automatización han "madurado" y "utilizan cada vez más IA para examinar 'software' con mayor detenimiento y frecuencia". Anthropic ha hecho referencia a que estos avances se deben a Mythos Preview. De la misma forma, Oracle también ha asegurado que está detectando y corrigiendo vulnerabilidades en sus productos y en la nube a una velocidad "mucho mayor que antes".

Mythos Preview para analizar proyectos de código abierto

Por otra parte, Anthropic también ha compartido que han estado utilizando el modelo de IA para analizar 1.000 proyectos de código abierto en los últimos meses. En este caso, Mythos Preview ha encontrado un total de 23.019 vulnerabilidades, de las cuales 6.202 eran de gravedad alta y crítica.

Concretamente, de entre las vulnerabilidades críticas halladas, 1.752 han sido evaluadas "minuciosamente" y, como resultado, han matizado que el 90,6 por ciento resultaron ser verdaderos positivos y el 62,4 por ciento se confirmaron como de alta gravedad.

La compañía ha compartido ejemplos de estas vulnerabilidades en servicios de código abierto, como es el caso de la biblioteca de criptografía wolfSSL, donde Mythos Preview consiguió crear un exploit que permitía falsificar certificados para alojar un sitio web falso de un banco o proveedor de correo electrónico.

Para mostrar todos estos hallazgos, Anthropic ha creado un panel de control con todas las vulnerabilidades de código abierto que han analizado, donde muestra los pasos de divulgación y permite hacer un seguimiento de su progreso.

Hasta ahora, la compañía ha informado sobre 530 errores de gravedad alta o crítica. De ellos, 75 ya han sido parcheados, y 65 de ellos han recibido avisos públicos.

Sin embargo, Anthropic ha apuntado a una brecha entre la "relativa facilidad para encontrar vulnerabilidades", en comparación con la dificultad que presentan los proveedores de servicios para corregirlas, dado que de media, un error de gravedad alta o crítica tarda dos semanas en corregirse. "Superar este desafío con éxito hará que nuestro software sea mucho más seguro", ha sentenciado.

Adoptar Claude Mythos en el futuro

Con todo ello, Anthropic ha anunciado que próximamente estarán disponibles de forma más generalizada modelos con capacidades de ciberseguridad similares a las de Mythos Preview.

Igualmente, ha lanzado Claude Security en versión beta pública para usuarios suscritos a Claude Enterprise, una herramienta que ayuda a analizar las bases de código de las empresas en busca de vulnerabilidades y, además, generar propuestas de solución.

Además, también ha señalado que están poniendo algunas herramientas de Mythos Preview a disposición de equipos de seguridad de clientes que cumplan los requisitos necesarios, con previa solicitud. Esto incluye habilidades, un sistema para mapear código fuente y un generador de modelos de amenazas.

Por lo demás, la tecnológica ha reiterado que Mythos Preview continúa sin estar disponible para el público general porque ninguna empresa, incluida Anthropic, ha desarrollado medidas de seguridad "lo suficientemente sólidas como para evitar el mal uso de dichos modelos y los graves daños que podrían causar".

"En un futuro próximo, una vez que hayamos desarrollado las medidas de seguridad mucho más sólidas que necesitamos, esperamos lanzar al público los modelos de la clase Mythos", ha sentenciado Anthropic.