Hasta ahora, la ciberseguridad se ha construido, en gran medida, en el imaginario colectivo, en torno a una lógica de resistencia. Resistir los ataques, subsanar las vulnerabilidades, construir sistemas lo suficientemente robustos como para impedir las intrusiones. Un enfoque casi físico, heredado del mundo de las fortalezas: levantar muros cada vez más sólidos frente a adversarios cada vez más ingeniosos.

La llegada del modelo Claude Mythos de Anthropic quizá marque el fin de esta visión.

No porque los ataques se vuelvan de repente imposibles de contener, sino porque la propia naturaleza del problema está cambiando. Mythos no se limita a mejorar la ciberseguridad. Modifica profundamente sus fundamentos, revelando una realidad que el sector intuía sin llegar nunca a asumirla realmente: la vulnerabilidad no es una anomalía puntual, sino un estado permanente.

Anthropic presenta Mythos como un avance trascendental, un modelo capaz de superar a casi todos los seres humanos en la detección de vulnerabilidades. Pero lo que realmente supone un punto de inflexión no es solo su capacidad para identificar fallos, sino su capacidad para explotarlos. El modelo ya ha permitido descubrir miles de vulnerabilidades críticas, incluso en todos los principales sistemas operativos y navegadores, algunas de las cuales habían permanecido ocultas durante décadas a pesar de las exhaustivas auditorías. Y lo que resulta aún más inquietante es que puede generar exploits funcionales en cuestión de horas, a veces sin intervención humana, y encadenar varias vulnerabilidades para eludir mecanismos de defensa que, sin embargo, se consideran robustos.

Anthropic va más allá al reconocer explícitamente que estas capacidades no permanecerán confinadas por mucho tiempo. A medida que los modelos avancen, este tipo de competencia se difundirá inevitablemente, incluso entre manos de actores malintencionados. Las posibles consecuencias son considerables y afectan directamente a las infraestructuras críticas, los sistemas financieros, la seguridad de los Estados y la economía global.

Durante mucho tiempo, la ciberseguridad se basó en un equilibrio implícito. Las vulnerabilidades existían, pero su descubrimiento y explotación requerían tiempo, competencias escasas y recursos importantes. Ese lapso de tiempo creaba una especie de amortiguador. Daba a las organizaciones tiempo para corregir, aplicar parches y absorber el impacto.

Mythos ha eliminado ese margen de tiempo.

Mientras que antes se necesitaban días o semanas para convertir una vulnerabilidad conocida en un exploit operativo, ahora este proceso puede automatizarse y reducirse a unas pocas horas. Este simple cambio en los plazos basta para trastocar todo el ecosistema. Porque la ciberseguridad no es solo una cuestión de capacidad, es una cuestión de velocidad. Y en este ámbito, la IA bate todos los récords.

Las consecuencias ya empiezan a hacerse notar. Los reguladores financieros están preocupados por la capacidad de estos modelos para explotar fallos en los sistemas bancarios. Las agencias de ciberseguridad alertan sobre una aceleración de los ataques, capaces de combinar vulnerabilidades menores en sofisticadas cadenas de explotación. En este contexto, el sector se está organizando.

Ese es precisamente el objetivo del Proyecto Glasswing, la iniciativa puesta en marcha por Anthropic junto con los principales actores tecnológicos mundiales, como Microsoft, AWS, Google, Apple, Cisco, CrowdStrike o JPMorgan. 

El objetivo es claro: utilizar estas capacidades ofensivas sin precedentes con fines defensivos, dando prioridad a la protección del software más crítico en el que se sustenta la economía mundial. Más de cuarenta organizaciones adicionales, en particular del ámbito del código abierto, también se han sumado a este programa, realizando importantes inversiones para acelerar la protección de las infraestructuras digitales.

Pero detrás de esta movilización se perfila una realidad más profunda.

Los sistemas que sustentan nuestras sociedades, como los bancos, los hospitales, las redes energéticas y las infraestructuras públicas, siempre han tenido vulnerabilidades. Algunas son menores, otras pueden dar lugar a vulnerabilidades graves. Hasta ahora, gran parte de estas vulnerabilidades permanecían ocultas, a falta de medios para detectarlas. Hoy en día, ya no es así.

Modelos como Mythos cambian la ecuación al reducir drásticamente el coste, el tiempo y los conocimientos especializados necesarios para descubrir y explotar estas vulnerabilidades. Si antes la búsqueda de vulnerabilidades era una tarea de expertos, ahora se está volviendo cada vez más automatizable y escalable.

Por lo tanto, el problema ya no es saber si un sistema es vulnerable, sino hasta qué punto lo es y, sobre todo, a qué velocidad pueden descubrirse y explotarse esas vulnerabilidades. Se trata de un cambio de paradigma para la ciberseguridad.

La ciberseguridad tal y como la conocíamos se basaba en un objetivo implícito: reducir las vulnerabilidades a un nivel aceptable, o incluso eliminarlas en determinados entornos críticos. Esta situación se vuelve difícilmente sostenible en un mundo en el que los modelos pueden explorar, probar y explotar sistemas a una escala y una velocidad sin precedentes.

Ante esta nueva realidad, la lógica de la resistencia llega a sus límites. Ya no podemos aspirar a construir sistemas perfectamente seguros. No porque los equipos carezcan de la competencia necesaria, sino porque el ámbito de las vulnerabilidades es demasiado amplio y las herramientas para explorarlas se están volviendo infinitamente más potentes.

La ciberseguridad entra en una nueva era: la de la resiliencia.

El objetivo ya no es solo reducir la superficie de ataque, sino diseñar sistemas capaces de soportar un ataque sin colapsar, detectar rápidamente los incidentes, contener su propagación y restablecer las operaciones.

Este cambio ya se percibe en algunas estrategias industriales. Actores como Zscaler sacan de ello una conclusión radical: en un mundo en el que las vulnerabilidades se descubren a una velocidad vertiginosa, la seguridad ya no puede basarse únicamente en la aplicación de parches a posteriori. Debe convertirse en algo estructural. Reducir la superficie de ataque desde el origen, replantearse las arquitecturas, limitar las dependencias e aislar los sistemas críticos. 

En otras palabras, pasar de una seguridad basada en los parches a un enfoque en el que los sistemas se diseñen desde el principio para ser seguros, integrando los mecanismos de protección y reconstrucción directamente en su arquitectura, en lugar de añadirlos a posteriori. 

Esto implica también reforzar prácticas esenciales como la realización de copias de seguridad periódicas, inmutables, aisladas y verificadas, capaces de garantizar una rápida restauración de los sistemas en caso de que se vean comprometidos. En un entorno en el que los ataques pueden propagarse y causar daños en cuestión de minutos, la capacidad de volver rápidamente a un estado seguro se convierte en un pilar fundamental de la resiliencia.

La paradoja de Mythos es que refuerza simultáneamente tanto a los defensores como a los atacantes: permite corregir más rápido, pero también explotar más rápido. Allana el camino hacia una ciberseguridad más eficaz a largo plazo, al tiempo que aumenta los riesgos a corto plazo. Entramos en una fase de transición inestable, en la que los equilibrios tradicionales se ponen en tela de juicio sin que haya surgido aún un nuevo modelo estabilizado. Es solo cuestión de tiempo. 

La propia Anthropic lo reconoce: el Proyecto Glasswing no es más que un punto de partida. Ningún actor puede hacer frente por sí solo a estos retos. La protección del ciberespacio en la era de la IA requerirá una estrecha coordinación entre empresas, universidades, investigadores, la comunidad de código abierto y los Estados. En este contexto, lo que está desapareciendo progresivamente no es la ciberseguridad, sino la ilusión de control.

Durante mucho tiempo, pensamos que podíamos contener el riesgo, reducirlo y controlarlo. Mythos nos recuerda que ese control es relativo. Los sistemas son complejos, las vulnerabilidades numerosas, incluso infinitas, y las herramientas para aprovecharlas son cada vez más potentes y rápidas. 

La ciberseguridad del mañana no será la de los sistemas inviolables. Será la de los sistemas capaces de reconstruirse rápidamente para sobrevivir.

En este sentido, Mythos no solo cambia las reglas del juego en materia de ciberseguridad, sino que las redefine por completo. Y en esta nueva versión, la resiliencia ya no es una opción, sino la condición misma de la seguridad.