BLOG
Claude Mythos no romperá el mundo: las defensas que de verdad importan
El 『Claude Mythos』 de Anthropic desentierra zero-days antiguos por 50 dólares — no te dejes llevar por los titulares llamativos. Lo que realmente hay que mantener es la postura defensiva básica frente a los ataques de siempre.
“Demasiado peligroso para hacerlo público” — en el momento en que esa frase quedó pegada al nuevo modelo de Anthropic, 『Claude Mythos』, los medios se sobrecalentaron, y el 24 de abril el ministro de Servicios Financieros Katayama llegó a convocar una reunión de emergencia con el Banco de Japón y los presidentes de los tres megabancos.
Pero, hablando con honestidad como alguien que defiende sistemas en producción, lo que toca hacer ahora no es reescribir a la carrera la estrategia de defensa, sino volver a lo básico de siempre. A continuación las razones, una a una.
Qué hizo realmente Claude Mythos
Quedándonos solo con los hechos públicos:
- Se reporta una capacidad para desenterrar, a bajo coste y a alta velocidad, bugs viejos que dormían en el software de todo el mundo
- Encontró un bug que llevaba en OpenBSD desde 1998, un sistema conocido por su seguridad robusta, por unos 50 dólares (alrededor de 7.000 yenes)
- Han aparecido descubrimientos similares en el kernel de Linux y en navegadores principales como Firefox
- Su provisión está limitada a 11 empresas vía Project Glasswing (Amazon, Google, Microsoft, Apple, JPMorgan, etc.) — cero empresas japonesas
- El precio está fijado en una franja premium por encima del API normal
Hasta ahí son hechos. El problema es la temperatura de una cobertura que salta en línea recta desde aquí hasta “y por eso el sistema financiero japonés se va a hundir” — esa, en mi opinión, está pasada de rosca.
”No podemos publicarlo porque es demasiado peligroso” es una jugada clásica de la economía de la atención
Anthropic es hoy la empresa con más inercia (“la de moda”) en la industria de la IA, pero a la vez no es más que un jugador que pelea ferozmente cuota de mercado contra OpenAI y Google. En un terreno tan competitivo, maximizar la atención sobre sí mismos es una “función de marketing” vital para ellos.
La diferenciación definitiva: “demasiado peligroso para sacarlo”
Esta decisión de “aplazar la publicación” no es solo una consideración ética, sino también una potente contraestrategia frente a los competidores; y para las empresas y países usuarios, instala miedo y angustia ante la idea de quedarse fuera.
Maximización del valor de escasez
Al construir el marco de “11 empresas elegidas (participantes de Project Glasswing)”, se logra que las empresas que no pueden entrar (especialmente las extranjeras) sientan miedo a quedarse atrás (FOMO).
Branding como “la empresa responsable”
Aun recibiendo críticas, mantienen un relato de noble autosacrificio: “asumimos voluntariamente esta crítica para proteger a la humanidad de los ataques zero-day”.
Colocar un concepto de rango superior llamado “Mythos (mito)” por encima del linaje Haiku / Sonnet / Opus también va, creo, en esa misma dirección: llevar la escasez del modelo y su carga narrativa al límite.
La crítica de Sam Altman, de OpenAI
“Es cierto que existen preocupaciones reales de seguridad. Pero si en el fondo el cálculo es 『nosotros somos los confiables, así que solo nosotros deberíamos controlar la IA』, entonces el marketing del miedo es la herramienta más eficaz para justificar esa pretensión.”
Por qué, incluso con un “Claude Mythos” experto en encontrar las debilidades de los sistemas, podemos decir que el mundo no se va a romper
La palabra “zero-day” suena algo amenazante, pero si se piensa en términos económicos (el equilibrio entre beneficios y costes), se ve por qué “la IA encuentra zero-days a montones” no equivale a “el mundo se acaba mañana”.
Al oír la noticia de que “la IA produce zero-days en serie” puede dar la sensación de que mañana mismo todos los sistemas del mundo se vendrán abajo. Pero al desenredar lo que de verdad ocurre y la lógica económica detrás, aparece una cara inesperada.
1. ¿Qué es exactamente un “zero-day”?
En una línea: una “debilidad oculta del software (un bug) que ni siquiera el desarrollador conoce todavía”.
Origen del nombre
Hace referencia a ataques que llegan cuando el tiempo entre el descubrimiento de la vulnerabilidad y la distribución del parche es de “0 días” — es decir, un estado en el que las contramedidas simplemente no han podido alcanzar.
La “llave mágica”
Mientras nadie la conozca, esa debilidad funciona como una “llave mágica” capaz de neutralizar cualquier seguridad por estricta que sea, y se intercambia a precios extremadamente altos en el mercado negro.
2. Un zero-day pierde su valor en el momento en que se usa
Un zero-day no es un activo tipo diamante. Es “un bien de consumo que desaparece nada más usarlo”.
- Se descubre su identidad: al ejecutar el ataque, en los sistemas de monitoreo del defensor quedan rastros de una “técnica desconocida”.
- Se neutraliza al instante: en el momento en que un buen ingeniero analiza esos rastros y distribuye un parche al mundo entero, esa “llave mágica” se convierte en pura basura. En el ambiente hacker se dice que “(la vulnerabilidad) se quema”.
3. La llegada de Mythos juega abrumadoramente a favor del “lado defensor”
Si una IA como Mythos puede hacer en “segundos y unos pocos miles de yenes” lo que antes llevaba meses de búsqueda de vulnerabilidades, el mundo se mueve con la siguiente lógica.
① Deflación armamentística (caída del precio)
Los zero-days que antes se vendían por cientos de millones de yenes a agencias estatales pierden su valor de escasez en cuanto cualquiera puede producirlos en serie con IA. El atacante ya no puede vender caro “el tesoro que tanto le costó encontrar”.
② Ciclo ultrarrápido de descubrimiento y reparación
La IA no es una herramienta exclusiva de los atacantes. Las empresas que desarrollan software también la usarán, y se volverá habitual “hacer que la IA encuentre las debilidades por su cuenta y las cierre antes del lanzamiento”.
- Lado atacante: usa IA para buscar agujeros
- Lado defensor: usa IA para encontrar agujeros, y deja que la IA escriba también el parche En este “juego del gato y el ratón”, una vez que el coste de reparar cae al suelo, el atacante queda acorralado: “el agujero que acabo de encontrar ya está parcheado antes de que pueda usarlo”.
③ Pérdida de compradores
Los zero-days caros funcionaban como negocio porque existían “compradores limitados” — brókeres específicos y agencias gubernamentales. Aunque la IA aflore vulnerabilidades como “ruido” en grandes cantidades, si se contabiliza el esfuerzo de armarlas como código de explotación real (exploit), operarlas y obtener resultados, la rentabilidad del ataque empeora.
Lo que Mythos acelera es “un mundo más seguro”
Como señala Sam Altman, la afirmación de que “la IA es peligrosa porque encuentra zero-days” no es más que un marketing del miedo unilateral.
En la lógica real, el mayor cambio es que “el lead time (la diferencia de tiempo) entre descubrimiento y reparación se acorta”, lo cual implica un futuro en el que el software que usamos se endurece más rápido y a menor coste que nunca antes.
Cómo entran en realidad los atacantes
Si uno lee cada año los informes que agregan incidentes reales, las causas en el top son siempre, más o menos, las mismas caras.
- Reutilización de contraseñas y reuso de credenciales filtradas
- Vulnerabilidades conocidas dejadas sin parchear
- Errores de configuración en buckets públicos, bases de datos públicas, etc.
- Intrusión inicial vía phishing
Los casos en que se usa un zero-day existen, sí, pero son la excepción. La mayor parte del daño a gran escala se produce como resultado de combinar con precisión técnicas de toda la vida. ¿Va a invertir Mythos este cuadro? A corto plazo, no debería cambiar.
Las defensas que de verdad nos importan
Las prioridades de Wired & Eco S.A. para la preparación en seguridad son las siguientes.
- Higiene básica, llevada a fondo — MFA obligatorio, eliminación de la reutilización de contraseñas, gestión de secretos
- Ciclo regular de gestión de parches y auditorías de configuración — fijar como objetivo cero pendientes
- Endurecimiento de monitorización, logs y segmentación de red — definir un SLA desde la detección hasta la contención
- Entrenamiento de resistencia al phishing — simulacros trimestrales
- Lead time de remediación de vulnerabilidades como KPI — monitoreado mensualmente
Subir el nivel de cumplimiento de estos cinco puntos es rotundamente más rentable que cualquier “contramedida de IA de nivel mítico”. Era cierto el año pasado y creo que seguirá siéndolo el próximo.
Conclusión
Claude Mythos no romperá el mundo en la medida que sugieren los titulares. Lo que sí va a romperse, por orden, son las organizaciones que han dejado abandonada la higiene básica de seguridad — y solo esas.
Las organizaciones que reescriben su estrategia de defensa cada vez que sale una noticia llamativa probablemente seguirán en el mismo sitio dentro de cinco años. Por el contrario, las que cada año van apilando esos cinco puntos aburridos, da igual que aparezca Mythos o que se libere su código abierto: seguirán haciéndose relativamente más fuertes.