Anthropic Mythos y el fin de la despreocupación en seguridad

Por qué el anuncio de Anthropic cambia la conversación

La mayoría sigue hablando de la IA en desarrollo de software desde el ángulo de la productividad: escribir código más rápido, refactorizar mejor, generar pruebas y revisar PRs con menos esfuerzo.

Lo que Anthropic publicó alrededor de Project Glasswing y Claude Mythos Preview apunta a algo más profundo: los modelos avanzados ya no solo ayudan a generar código, también empiezan a encontrar y explotar vulnerabilidades reales en software crítico.

Anthropic mostró ejemplos concretos:

una vulnerabilidad de 27 años en OpenBSD
una vulnerabilidad de 16 años en FFmpeg
cadenas de explotación en el kernel de Linux
resultados muy superiores a Opus 4.6 en pruebas centradas en seguridad

Vídeo completo aquí: https://mkc.sh/anthropic-mythos?utm_source=blog

Lo que demostró Claude Mythos

Anthropic presenta Mythos como un modelo frontier no público, probado dentro de una iniciativa defensiva con grandes socios en Project Glasswing.

El punto clave no es solo la potencia bruta. Es que los hallazgos reportados son verificables y afectan bases de código que mucha gente daba por revisadas desde hace años.

Señal	Lo que sugiere
CyberGym: 83.1%	Un salto claro frente a Opus 4.6
Firefox: 181 exploits funcionales	Otro nivel de explotación autónoma
OSS-Fuzz: varios resultados nivel 5	Escenarios de control mucho más serios

Por qué OpenBSD y FFmpeg importan tanto

OpenBSD muestra que algunas vulnerabilidades pueden permanecer ocultas durante décadas, incluso en proyectos muy respetados. FFmpeg demuestra que problemas críticos pueden sobrevivir en dependencias masivas durante años. Y las cadenas de explotación en Linux vuelven el tema muy concreto para infraestructuras y sistemas reales.

Lo que cambia para los equipos de desarrollo

La conclusión real es que el coste de encontrar vulnerabilidades está bajando.

Cuando eso pasa:

El código legacy se vuelve más riesgoso
Las dependencias antiguas se vuelven más sensibles
Las zonas mal documentadas se vuelven más peligrosas
La seguridad ya no puede vivir separada del desarrollo

Qué haría yo

mapear las zonas críticas del código
revisar módulos antiguos en C/C++
revaluar la confianza en dependencias históricas
documentar mejor las áreas sensibles
usar la IA también del lado de la defensa

La IA no vuelve menos serio el trabajo del desarrollador. Probablemente lo vuelve más exigente.