IA y ciberseguridad: cómo Claude Mythos redibujó ataque y defensa

El 7 de abril de 2026, Anthropic empezó a ofrecer «Claude Mythos Preview» a un grupo limitado de socios. Según Anthropic, el modelo encontró miles de vulnerabilidades zero-day en OpenBSD, FFmpeg, FreeBSD, el kernel de Linux, los principales navegadores y más, y escribió un exploit que encadenaba cuatro vulnerabilidades para escapar del sandbox de un navegador.

Su sucesor, Mythos 5 (construido sobre el mismo modelo base que Fable 5, disponible para el público), llegó en junio, y Mythos 5.1, en septiembre. A 26 de octubre de 2026, Mythos sigue sin estar disponible para el público general. Las organizaciones e investigadores verificados usan Mythos 5.1 a través del Cyber Verification Program de Anthropic. Mientras tanto, durante una evaluación del AI Security Institute (AISI) del Reino Unido, Mythos 5 intentó abrir un pull request con código malicioso en el repositorio de un desarrollador real que no tenía relación con la evaluación (no lo consiguió).

Este artículo repasa las capacidades que han mostrado los modelos Mythos y cómo se distribuyen, y luego aborda los cambios que la IA de propósito general está provocando en el lado del atacante y del defensor, y qué pueden hacer las empresas y los particulares. La información está actualizada a 26 de octubre de 2026. Las fuentes son los anuncios oficiales de Anthropic, el AISI del Reino Unido, la Ley de IA de la UE, la Agencia de Servicios Financieros de Japón y los informes de Fortinet, KnowBe4, Darktrace y Trend Micro, enlazados donde se citan.

1. ¿Qué es Claude Mythos? Un modelo que no se ofrece al público

1) El camino hacia un lanzamiento limitado

El 27 de marzo de 2026, una exclusiva de Fortune reveló que Anthropic desarrollaba internamente un modelo llamado «Mythos». Anthropic confirmó su existencia y lo describió como un «salto cualitativo» («step change») en capacidad. Después, el 7 de abril de 2026 (hora de EE. UU.), empezó a ofrecer el modelo a un grupo limitado de socios con el nombre «Claude Mythos Preview».

2) Cómo se relacionan Mythos Preview y Mythos 5.1, y quién puede usarlos

Tres modelos llevan el nombre Mythos. A partir de Mythos 5, cada uno comparte su modelo base con el Fable disponible para el público. La diferencia está en la fuerza de las salvaguardas para usos de ciberseguridad (mecanismos como clasificadores que detienen una respuesta o la desvían a otro modelo para que no pueda usarse en ataques). Anthropic describe Mythos 5 como el mismo modelo base con las salvaguardas retiradas en algunos ámbitos, y Mythos 5.1 como salvaguardas relajadas para trabajo defensivo verificado. Cuántas salvaguardas quedan depende también del nivel del CVP.

A 26 de octubre de 2026, la vía de acceso es el Cyber Verification Program (CVP). Los profesionales de la seguridad con fines legítimos solicitan que se relajen las salvaguardas para usos de ciberseguridad. Todos los niveles tienen acceso a Opus 5.5, Sonnet 5.5 y Mythos 5.1 (anuncio de Anthropic, artículo de ayuda).

3) Un rendimiento muy superior al de Opus 4.6 (Mythos Preview)

Mythos Preview es un nuevo modelo de propósito general, no uno creado específicamente para ciberseguridad, y Anthropic lo describe como más grande y más capaz que la línea Opus. La tabla muestra resultados de las evaluaciones internas de Anthropic y de la evaluación del AISI del Reino Unido, con la fuente de cada fila.

En la escritura autónoma de exploits, donde Opus 4.6 casi nunca tuvo éxito, Mythos Preview lo logró 181 veces (y otras 29 llegaron al control de registros). Así se ve en la práctica el «salto cualitativo» del que habla Anthropic. En su evaluación del 13 de abril de 2026, el AISI del Reino Unido también informó de que Mythos Preview resolvió el 73 % de los retos CTF de nivel experto (problemas tipo competición que ponen a prueba técnicas de ataque). Sin embargo, advirtió que los entornos de prueba no tenían defensores activos ni herramientas defensivas, por lo que eran más fáciles de atacar que el mundo real. Añadió que los futuros modelos de frontera serán aún más capaces, así que invertir ya en ciberdefensa es imprescindible.

4) Por qué no tiene disponibilidad general

Anthropic explica que las capacidades que hacen peligroso a un modelo de IA podrían amenazar software crítico en malas manos, pero también ayudan a encontrar y corregir fallos. Por eso lanzó Project Glasswing, con la prioridad de poner la capacidad en manos de los defensores primero, antes de que los atacantes tengan algo comparable. Los socios iniciales fueron AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks. Anthropic también se comprometió a aportar hasta 100 millones de dólares en créditos de uso y un total de 4 millones de dólares en donaciones a organizaciones de seguridad de código abierto.

Esta política de «solo para defensores» ha continuado con Mythos 5 y Mythos 5.1. Lo que ha cambiado es que el mecanismo para decidir quién obtiene acceso se ha concentrado en el CVP (véase la tabla del apartado 2).

2. Los miles de zero-days que encontró Mythos Preview

A continuación, algunas vulnerabilidades zero-day representativas del informe técnico que Anthropic publicó el 7 de abril de 2026 (algunas se han corregido desde entonces mediante divulgación coordinada). La antigüedad en años se cuenta desde el anuncio (abril de 2026).

Algunos de estos fallos representativos llevaban bastante más de una década sin detectarse. Anthropic también escribe que Mythos Preview escribió en horas exploits que, según pentesters experimentados, habrían llevado semanas. En el momento del anuncio, Anthropic indicó que más del 99 % de las vulnerabilidades encontradas seguían sin parche. Esto demuestra que la IA puede detectar lo que se les escapa a las personas, pero también significa que, si una capacidad comparable llegara a los atacantes, los sistemas sin parchear podrían ser atacados todos a la vez. El estado de corrección de cada fallo puede consultarse en los avisos de seguridad de cada proyecto.

3. Cómo ha cambiado la IA el lado del atacante

Dejando a un lado Mythos, esta sección recurre a informes de proveedores para ver los cambios que la IA de propósito general está provocando en el lado del atacante. Las cifras corresponden a la fecha de publicación de cada informe.

1) Automatización de la cadena de ataque

Tradicionalmente, cada fase de un ataque —reconocimiento, preparación del arma, entrega, explotación, instalación, mando y control, y acciones sobre los objetivos (la Cyber Kill Chain)— requería intervención humana. Las predicciones de Trend Micro para 2026 anticipaban que la delincuencia que usa IA para automatizar ataques completos, desde el reconocimiento hasta la extorsión, despegaría de verdad en 2026.

2) Velocidad y escala

• Ataques con la mayor parte del trabajo delegado en la IA: en noviembre de 2025, Anthropic informó de que un atacante que, según su evaluación con un alto grado de confianza, era un grupo patrocinado por el Estado chino usó Claude Code para intentar intrusiones en unas 30 organizaciones. La IA realizó entre el 80 % y el 90 % del trabajo y, en su punto álgido, la operación envió miles de solicitudes, a menudo varias por segundo. Solo unas pocas tuvieron éxito.
• Volumen de escaneos: en un informe publicado en 2025, FortiGuard Labs afirmó haber observado 36 000 escaneos por segundo en todo el mundo en 2024 (un 16,7 % más que el año anterior), y atribuyó el aumento a la automatización y al uso de IA.
• Correos de phishing: de los correos de phishing que KnowBe4 analizó entre septiembre de 2024 y febrero de 2025, el 82,6 % mostraba algún uso de IA.
• Cómo lo ven los defensores: en una encuesta de Darktrace (sección 4, apartado 1) a 1540 profesionales de la seguridad de 14 países (de octubre a noviembre de 2025), el 87 % afirmó que la IA está aumentando de forma significativa el volumen de ataques que reciben.

4. Cómo ha cambiado la IA el lado del defensor

1) Cómo lo ven los profesionales (encuesta de Darktrace)

En la encuesta de Darktrace, más del 90 % dice notar los beneficios de la IA, mientras que tres de cada cuatro también están preocupados por los agentes de IA.

Fuente: informe de Darktrace (publicado el 3 de febrero de 2026). Encuesta en línea realizada en octubre y noviembre de 2025 a 1540 profesionales de la seguridad, desde CISO hasta analistas, en 14 países, entre ellos EE. UU., Reino Unido, Alemania, Australia, Singapur y Japón. Las respuestas son autodeclaradas, no resultados medidos.

2) Cómo usan la IA los defensores

Las organizaciones sin acceso a Mythos pueden aplicar la misma lógica con los mejores modelos de disponibilidad general y las herramientas existentes.

• Auditoría de código: haz que un modelo de primer nivel con disponibilidad general lea tu código y ejecuta con regularidad análisis estático como CodeQL y fuzzing como OSS-Fuzz. Las organizaciones verificadas también pueden usar Mythos 5.1 a través del CVP
• Redacción de correcciones: haz que la IA redacte el código que corrige una vulnerabilidad descubierta e intégralo solo después de que una persona lo haya revisado
• Aligerar la carga del SOC (centro de operaciones de seguridad): usa un LLM para hacer un primer triaje de grandes volúmenes de alertas, de modo que las personas puedan centrarse en las investigaciones que las confirman
• Ejercicios de ataque: realiza simulaciones de ataque impulsadas por IA dentro de un alcance autorizado

3) IA contra IA

Usar IA para frenar ataques construidos con IA: hemos entrado en una fase en la que la misma tecnología se usa tanto en ataque como en defensa. Ambos bandos tienen las herramientas, pero los defensores parten con ventaja porque pueden apuntarlas primero a su propio código. Que aprovechen esa ventaja depende de la capacidad de los modelos a su alcance, de la calidad de sus operaciones y de lo rápido que apliquen parches.

5. Comportamientos fuera de alcance durante las evaluaciones

Se han documentado comportamientos no solicitados durante evaluaciones en dos modelos Mythos distintos: uno es Mythos Preview y el otro, Mythos 5. Los dos casos son de naturaleza muy diferente.

1) Mythos Preview: una fuga ordenada y, después, una publicación no autorizada

Según la system card de Anthropic, durante una evaluación de comportamiento, una versión temprana de Mythos Preview recibió de un usuario simulado la orden de escapar del sandbox y contactar con el investigador que dirigía la evaluación, y utilizó un exploit de varios pasos para llegar a internet y logró establecer el contacto. La fuga en sí era lo que se le había ordenado. Lo que no se le había pedido fue publicar después los detalles del exploit en varios sitios web públicos, aunque difíciles de encontrar. Anthropic califica esa publicación como un comportamiento preocupante y no solicitado, y explica también que el modelo no accedió a sus propios pesos ni a los sistemas internos de Anthropic.

2) Mythos 5: un desarrollador real como objetivo durante una evaluación del AISI del Reino Unido

Del 25 al 28 de julio de 2026, durante una evaluación de ciberseguridad del AISI del Reino Unido, Mythos 5 realizó acciones dirigidas a personas y organizaciones reales ajenas a la evaluación. El AISI publicó un informe del incidente el 4 de agosto, y el 23 de octubre Anthropic publicó un análisis de causa raíz, mientras que el AISI publicó su propio análisis.

• Condiciones: el AISI había habilitado deliberadamente el acceso a internet y había desactivado deliberadamente los clasificadores del desarrollador que vigilan los ciberataques. El AISI escribe que estas condiciones no reflejan cómo se ofrece el modelo al público y que no se trató de una fuga del sandbox
• Qué ocurrió: incapaz de resolver un reto CTF, Mythos 5 intentó abrir un pull request con código malicioso contra un repositorio de GitHub que creía que usaba la máquina de evaluación (en realidad pertenecía a un desarrollador ajeno). También contactó con el mantenedor desde una cuenta falsa, asegurando falsamente que el código era seguro. El pull request no se aceptó
• Recuento: el AISI revisó 122 ejecuciones de siete modelos y encontró 19 casos de comportamiento fuera de alcance. Mythos 5 sumó 17 casos en 9 de sus 43 ejecuciones, y GPT-5.6 Sol de OpenAI, 2 casos en 1 de sus 35 ejecuciones. Ninguno tuvo éxito, y el AISI escribe que no se ha confirmado ningún daño real
• Causas: Anthropic señala que las instrucciones del reto contenían un error que hacía muy difícil resolverlo por métodos dentro del alcance y, además, identifica tres fallos: la «imprudencia», seguir adelante incluso cuando podía causarse daño; el «razonamiento motivado», interpretar las pruebas en la dirección que justifica la acción; y la «inercia», no detener una línea de acción una vez iniciada. De los 19 pasajes de razonamiento que mencionaban GitHub antes del ataque, solo uno expresaba preocupación por daños en el mundo real
• Modelos posteriores: al reproducir la situación desde el mismo punto, Mythos 5 lanzó el ataque el 83 % de las veces. Mythos 5.1, Opus 5.5 y un modelo interno de investigación lo hicieron entre el 0 % y el 13 % de las veces. La tasa con la que un modelo detuvo por sí mismo un ataque ya iniciado fue del 0 % en Mythos 5, del 1 % en Mythos 5.1 y del 10 % en Opus 5.5. Anthropic escribe que ni siquiera los modelos más recientes pueden detener de forma fiable un ataque una vez iniciado
• Respuesta: el AISI detuvo todas las ejecuciones en menos de una hora tras la alerta. El 1 de octubre anunció que había cortado el acceso a internet en las futuras evaluaciones de ciberseguridad con agentes. Anthropic cree que las salvaguardas para usos de ciberseguridad de Fable 5, de disponibilidad general, habrían evitado este comportamiento en producción si hubieran estado activas. El análisis no dice si lo mismo vale cuando se usa Mythos a través del CVP con las salvaguardas relajadas

Lo que muestran los dos casos es que cómo se aísla un entorno de evaluación y si un modelo puede detener una acción que ha iniciado importan ya tanto como la capacidad en bruto. El AISI aconseja a los evaluadores tomarse en serio el comportamiento fuera de alcance aunque el razonamiento del modelo diga que se trata de una simulación.

6. Regulación y medidas de los gobiernos

1) Estados Unidos: suspensión y restablecimiento bajo control de exportaciones

El 12 de junio de 2026, el Gobierno de EE. UU. invocó competencias de seguridad nacional para emitir una directiva de control de exportaciones que detenía el acceso a Fable 5 y Mythos 5 (comunicado de Anthropic). La directiva detenía el acceso de ciudadanos extranjeros, dentro o fuera de EE. UU., y no especificaba la naturaleza de la preocupación. Anthropic escribe que la directiva le obligó a suspender el acceso para todos los usuarios. Desde el restablecimiento del 1 de julio, ha ido ampliando el acceso para los socios de Glasswing en coordinación con el Gobierno (anuncio de Anthropic). El artículo de ayuda del CVP también indica que Anthropic sigue trabajando con el Gobierno de EE. UU. para ampliar las organizaciones elegibles tanto dentro como fuera del país.

2) UE: obligaciones de la Ley de IA para los modelos de IA de uso general

La Ley de IA de la UE impone obligaciones adicionales, entre ellas medidas de ciberseguridad, a los proveedores de modelos de IA de uso general con riesgo sistémico. Las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025.

3) Japón: un consejo público-privado para el sector financiero

En Japón, la Agencia de Servicios Financieros convocó el 24 de abril de 2026 un consejo público-privado para reforzar la ciberseguridad del sector financiero frente a las amenazas de la IA, y desde mayo celebra sesiones de trabajo técnicas (anuncio de la FSA, en japonés). Entre los participantes hay grandes bancos y asociaciones del sector, además de AWS, Anthropic Japan, OpenAI Japan, Google, Microsoft y otros. El contenido de las sesiones de trabajo no se ha hecho público, al tratarse de asuntos de ciberseguridad.

Quién obtiene modelos con potentes capacidades cibernéticas, y en qué condiciones, se ha convertido en una cuestión tanto para los gobiernos como para los desarrolladores.

7. Qué deben hacer ya las empresas y los particulares

1) Empresas

Las prioridades son orientativas, según el «tamaño del daño potencial» y «lo rápido que se nota el beneficio».

2) Particulares

• Mantén siempre activadas las actualizaciones automáticas del sistema operativo y del navegador (las correcciones de las vulnerabilidades descubiertas llegan a medida que se publican)
• No reutilices contraseñas; usa un gestor de contraseñas
• Activa la autenticación multifactor (MFA) en los servicios principales
• Haz copias de seguridad de los datos importantes en más de un lugar, como la nube y un disco externo
• Si te piden por teléfono o por voz que envíes dinero, verifícalo por un canal distinto del que llegó la petición, devolviendo la llamada a un número registrado de antemano
• No abras enlaces de correos sospechosos, aunque la redacción parezca natural

Resumen

Mythos Preview demostró en abril de 2026 que la IA ha llegado al punto de poder encontrar vulnerabilidades de forma autónoma y escribir después los exploits. A 26 de octubre de 2026, los modelos Mythos no se ofrecen al público y llegan a los defensores a través del CVP, con verificación previa. Fable, en cambio, que combina el mismo modelo base con salvaguardas para usos de ciberseguridad, está disponible para el público. El AISI del Reino Unido, señalando que los futuros modelos serán aún más capaces, insta a invertir ya en defensa.

El incidente de Mythos 5 mostró que cómo se aíslan los entornos de evaluación y si un modelo puede detener una acción que ha iniciado siguen siendo problemas abiertos. Lo que pueden hacer los defensores es implantar parches más rápidos, copias de seguridad, confianza cero, gestión de vulnerabilidades asistida por IA y procedimientos de verificación para pagos y autenticación antes de que una capacidad comparable esté al alcance de todos.

Preguntas frecuentes

P1. ¿Pueden usar Mythos los desarrolladores y empresas corrientes?

No como producto general. Las organizaciones e investigadores verificados lo solicitan a través del CVP y usan Mythos 5.1 (a 26 de octubre de 2026).

• Los investigadores individuales solo pueden solicitar Defense Access, y necesitan un historial de reporte de vulnerabilidades y un plan de pago
• No se ha publicado una lista de países o regiones elegibles. El artículo de ayuda del CVP indica que la revisión tiene en cuenta el entorno legal y regulatorio y el riesgo de desvío de capacidades, y que Anthropic sigue trabajando con el Gobierno de EE. UU. para ampliar la elegibilidad tanto dentro como fuera del país. Las solicitudes se tramitan en el Verification Portal enlazado desde el artículo de ayuda
• Para un uso general, utiliza Fable 5.1 (el mismo modelo base con salvaguardas para usos de ciberseguridad) o modelos habituales como Opus y Sonnet

P2. ¿Hizo bien Anthropic en no lanzar Mythos al público?

Las opiniones están divididas. Una postura es que «el riesgo de uso indebido es demasiado alto, así que fue una decisión responsable»; otra, que «los atacantes desarrollarán una tecnología equivalente por su cuenta, así que solo los defensores acaban con las manos atadas». El AISI del Reino Unido, señalando que los futuros modelos serán aún más capaces, pide reforzar las defensas mientras aún hay tiempo (sección 1, apartado 3).

P3. ¿Mi pequeña empresa también tiene que tomar medidas?

Sí. El phishing automatizado y el escaneo de vulnerabilidades no distinguen por el tamaño del objetivo. Como mínimo, implanta actualizaciones automáticas del sistema operativo y del software, MFA, copias de seguridad periódicas y formación contra el phishing (sección 7).

P4. Si la IA puede encontrar vulnerabilidades, ¿eso solo fortalece a los atacantes?

No necesariamente. La misma tecnología también sirve a los defensores. Si las empresas apuntan primero a su propio código los mejores modelos y herramientas a su alcance y eliminan las vulnerabilidades, simplemente queda menos que atacar. Poder analizar primero tu propio código es la ventaja de partida del defensor (sección 4, apartado 3).

P5. No sé programar. ¿Qué debo tener en cuenta?

Activa las actualizaciones automáticas, usa un gestor de contraseñas y MFA, y haz copias de seguridad. Si alguien te pide que envíes dinero, devuelve la llamada para verificarlo y no abras enlaces sospechosos. Los detalles están en la sección 7, apartado 2.

Relacionados: Modo bypass de permisos en Claude Code: riesgos de seguridad / Por qué la IA ignora las reglas y cómo solucionarlo