Claude Mythos Preview es un modelo de Inteligencia Artificial de propósito general que, según Anthropic, supera significativamente a las versiones anteriores en diversas pruebas comparativas, incluyendo codificación y razonamiento. La compañía afirma que es tan potente que ha decidido no lanzarlo al público. Explicaron que algunos modelos de IA han alcanzado un nivel de capacidad de codificación que les permite superar a casi todos los humanos, excepto a los más expertos, en la detección y explotación de vulnerabilidades de software.

Según Anthropic, Mythos Preview ya ha detectado miles de vulnerabilidades de "día cero" durante sus pruebas, incluyendo todos los principales sistemas operativos y navegadores web. Las vulnerabilidades de "día cero" son fallos desconocidos para los desarrolladores del software, lo que implica que no tienen tiempo para crear un parche que las solucione. Estas vulnerabilidades suelen ser un tesoro para los hackers, ya que les brindan vía libre para infiltrarse en sistemas vulnerables.

Anthropic afirmó que Mythos logró identificar estas vulnerabilidades con incluso menos intervención humana que los modelos anteriores. "Mythos Preview demuestra un gran avance en estas capacidades cibernéticas: las vulnerabilidades que ha detectado han sobrevivido, en algunos casos, a décadas de revisión humana y millones de pruebas de seguridad automatizadas", declara la compañía. En manos de una banda de ransomware o de gobiernos hostiles, una herramienta de este tipo podría dar lugar a ciberataques más devastadores y frecuentes según recoge Bloomberg.

Los investigadores afirman no haber tenido acceso para verificar de forma independiente las afirmaciones de Anthropic sobre el rendimiento de Mythos. Gang Wang, profesor asociado de informática en la Universidad de Illinois, señaló que es difícil evaluar la importancia de Mythos Preview sin realizar más pruebas prácticas.

​¿Quién tendrá acceso a Mythos?

Anthropic ha bautizado su plan para conceder acceso a un grupo limitado de socios seleccionados como Proyecto Glasswing , en referencia a un tipo de mariposa con alas transparentes que le permiten camuflarse a plena vista. Entre los participantes se encuentran Amazon, Apple, Google (de Alphabet), Microsoft, Nvidia, Palo Alto Networks, CrowdStrike Holdings, Broadcom, Cisco Systems, JPMorgan Chase y la Linux Foundation, una organización sin ánimo de lucro que apoya proyectos de software de código abierto. Anthropic describió el proyecto como un intento urgente de poner estas capacidades al servicio de la defensa.

Estas organizaciones utilizarán Mythos como parte de sus estrategias de seguridad defensiva, y Anthropic planea compartir los resultados del proyecto para que otros puedan beneficiarse. Muchas empresas ya realizan simulacros de penetración, en los que contratan especialistas para que analicen sus sistemas en busca de vulnerabilidades y puedan corregirlas antes de que los hackers accedan a ellos. Mythos podría permitir a las empresas acelerar este proceso, permitiéndoles encontrar más fallos con mayor rapidez y reducir las oportunidades de posibles ataques.

​¿Qué medidas de seguridad existen?

Según Anthropic, las medidas de seguridad están en desarrollo. «Hemos observado que alcanzan niveles de fiabilidad y alineación sin precedentes», escribió Anthropic, lo que significa que se ajustan a las necesidades humanas. «Sin embargo, en raras ocasiones, cuando fallan o se comportan de forma extraña, hemos visto que realizan acciones que nos resultan bastante preocupantes».

En un caso , un investigador instó a una versión preliminar de Mythos a intentar escapar de un ordenador aislado y protegido, y luego encontrar la manera de enviar un mensaje a esa persona. La herramienta lo logró, pero continuó realizando acciones adicionales más preocupantes, desarrollando un exploit de varios pasos para obtener acceso a internet.

Anthropic afirmó que no planea lanzar Mythos Preview al público en general, dado su potencial de uso indebido. Sin embargo, la compañía espera, en última instancia, permitir a los usuarios implementar modelos de la clase Mythos a gran escala con fines de ciberseguridad y otros usos. "Para ello, necesitamos avanzar en el desarrollo de medidas de ciberseguridad (y otras) que detecten y bloqueen los resultados más peligrosos del modelo", declara.

Para los errores más graves detectados por Mythos, intervienen personas: especialistas validan estos hallazgos antes de enviar la información a quienes mantienen el código, según Anthropic. Es un proceso necesario pero laborioso, que podría eliminarse a medida que el modelo mejore, afirmó Wang, de la Universidad de Illinois.

​¿Mythos proporciona a los defensores de la ciberseguridad una ventaja sobre los hackers?

Tal vez, pero podría llevar tiempo. El proceso de Anthropic para informar sobre fallos a quienes dan mantenimiento al software o a los sistemas informáticos puede ser prolongado. Hasta el momento, menos del 1% de las vulnerabilidades potenciales detectadas por Mythos Preview se han corregido por completo, según la empresa.

Al mismo tiempo, los hackers están utilizando IA para acelerar drásticamente la rapidez con la que encuentran y explotan vulnerabilidades una vez que se divulgan. (Se anima a los proveedores, y en algunos casos se les exige, a divulgar públicamente las vulnerabilidades una vez que se descubren, e idealmente a proporcionar una solución). 

Esto deja a los profesionales de la ciberseguridad cada vez menos tiempo para parchear sus redes. En una publicación de blog del 30 de marzo, el director ejecutivo de Palo Alto Networks, Nikesh Arora, advirtió que la barrera para los ataques sofisticados seguirá disminuyendo durante los próximos seis meses. "Un solo actor malicioso ahora podrá ejecutar campañas que requerían equipos enteros", escribió .

Yair Saban, director ejecutivo de Buzz y veterano de la Unidad 8200 de ciberseguridad de Israel, afirmó que seis ingenieros tardaron tres semanas en desarrollar su herramienta de pirateo basada en inteligencia artificial. Añadió que otros, incluidos los ciberespías de estados nación y los ciberdelincuentes, seguramente pueden hacer lo mismo.

Anthropic sostiene que Mythos Preview y otras herramientas de IA similares terminarán favoreciendo a los defensores. "A largo plazo, prevemos que las capacidades de defensa serán las que prevalezcan: que el mundo será más seguro, con un software mejor reforzado, en gran parte gracias al código escrito por estos modelos", declara el equipo Frontier Red Team de la compañía en una publicación de blog del 7 de abril . "Pero el período de transición será complejo".