La IA acaba de cambiar la ciberseguridad para siempre
Hay una forma simple de entender lo que acaba de pasar con Mythos.
Antes, encontrar vulnerabilidades serias en software requería expertos.
Gente con años de experiencia.
Capacidad de leer código complejo.
Y mucho tiempo.
Ahora estamos viendo modelos de IA que pueden hacer parte de ese trabajo a una velocidad absurda.
No estamos hablando de un chatbot que te ayuda a escribir un email.
Estamos hablando de modelos que pueden revisar código, encontrar fallas, explicar cómo explotarlas y conectar varias vulnerabilidades en una ruta de ataque.
Eso cambia todo.
Te lo explico.
Mythos no es “otro modelo más”
Anthropic presentó Mythos Preview como uno de sus modelos más capaces y más restringidos.
Y la razón es clara:
El modelo es demasiado bueno en ciberseguridad ofensiva.
Puede encontrar vulnerabilidades.
Puede analizar código.
Puede descubrir fallas que todavía no han sido reportadas.
Puede ayudar a escribir exploits.
Y cuando una IA puede hacer eso, la pregunta deja de ser:
“¿Qué tan inteligente es el modelo?”
La pregunta real es:
¿Quién tiene acceso?
Porque una herramienta así en las manos correctas puede proteger internet.
Pero una herramienta así en manos incorrectas puede romperlo.
Ese es el dilema.
La misma capacidad que puede ayudarte a cerrar una puerta también puede ayudarle a alguien a entrar por ella.
Los números son absurdos
Anthropic usó Mythos para revisar más de 1,000 proyectos open source.
Librerías.
Herramientas.
Repositorios.
Sistemas que muchas empresas usan sin pensar demasiado.
El resultado fue brutal:
Más de 6,000 estimadas como graves o críticas.
Eso no significa que todas sean perfectas, confirmadas o explotables.
Hay falsos positivos.
Hay que validar.
Hay que revisar.
Pero aunque solo una parte sea real, el mensaje ya es suficiente:
La IA puede revisar vulnerabilidades en internet a una escala que los humanos no pueden igualar.
Antes, muchas fallas sobrevivían porque nadie tenía tiempo de buscarlas.
Ahora el problema puede ser el opuesto:
Podemos encontrar más fallas de las que somos capaces de resolver.
El problema ya no es encontrar fallas en el sistema. Es arreglarlas a tiempo
Esta es la parte que mucha gente no entiende.
Encontrar vulnerabilidades no es el final.
Es el inicio.
Después hay que validar.
Priorizar.
Crear parches.
Probarlos.
Actualizar sistemas.
Convencer a empresas de que instalen las actualizaciones.
Y todo eso pasa a velocidad humana.
No basta con tener una IA que encuentre 20,000 problemas si solo puedes corregir 200 a tiempo.
Por eso este tema no es solo técnico.
Es organizacional.
Es político.
Es económico.
Es de infraestructura.
La línea entre defensa y ataque se vuelve muy delgada
En ciberseguridad, casi todo tiene doble uso.
La misma técnica que sirve para probar una defensa también sirve para atacar.
El mismo conocimiento que ayuda a asegurar un sistema también ayuda a romperlo.
El mismo modelo que encuentra una vulnerabilidad para reportarla puede encontrarla para explotarla.
Ese es el problema con Mythos.
No es que la capacidad sea mala.
La capacidad es impresionante.
Puede ser profundamente útil.
Puede ayudar a defender bancos, hospitales, software open source, infraestructura crítica y empresas que no tienen equipos de seguridad enormes.
Pero también puede darle a un actor malicioso una ventaja brutal.
Y no necesitas imaginar un supervillano.
Basta con imaginar a un grupo criminal usando IA para automatizar lo que antes requería un equipo completo de hackers.
O a un Estado usando IA para encontrar debilidades en infraestructura crítica.
O a un atacante mediocre volviéndose mucho más capaz porque ahora tiene un copiloto de ciberataque.
Ese es el riesgo.
La IA baja la barrera de entrada.
Para construir.
Para aprender.
Para defender.
Pero también para atacar.
El gobierno de Estados Unidos no se metió por casualidad
Cuando el gobierno de Estados Unidos entra en una historia así, mucha gente se va a los extremos.
Unos dicen:
“Esto es censura.”
Otros dicen:
“Esto era demasiado peligroso.”
Pero el punto más importante está en el medio.
Si un modelo puede encontrar y explotar vulnerabilidades serias a gran escala, ya no es solo un producto privado.
Es una herramienta con consecuencias nacionales.
Puede afectar bancos.
Infraestructura.
Empresas.
Gobiernos.
Cadenas de suministro.
Eso no significa que el gobierno tenga razón.
Tampoco significa que las empresas deberían decidir solas.
Significa que estamos entrando en un territorio nuevo.
Un territorio donde modelos privados empiezan a tener impacto público.
Y cuando eso pasa, la pregunta se vuelve incómoda:
¿Quién decide cuándo una IA es demasiado poderosa para abrirse al mundo?
¿La empresa?
¿El gobierno?
¿Los investigadores?
¿Los clientes?
¿Un grupo pequeño de personas en Silicon Valley?
No hay una respuesta fácil.
Pero sí hay una verdad clara:
No podemos tratar esto como si fuera otra app.
Defensa contra ataque
El verdadero tema de Mythos no es Mythos.
Es lo que viene después.
Porque si Anthropic puede construir un modelo así, otros laboratorios también podrán hacerlo.
Tal vez en seis meses.
Tal vez en un año.
Tal vez antes.
Y no todos van a tener los mismos incentivos.
No todos van a tener los mismos filtros.
No todos van a trabajar con investigadores externos.
No todos van a pensar primero en defensa.
Ese es el punto.
La carrera ya empezó.
De un lado, defensores usando IA para encontrar vulnerabilidades antes que los atacantes.
Del otro, atacantes usando IA para encontrarlas antes que los defensores.
Y en el medio estamos todos.
Personas normales que dependen de sistemas que no entienden.
El peligro de la centralización
Hay otra capa que no podemos ignorar.
Modelos como Mythos no viven en tu laptop.
Viven en datacenters.
Con acceso controlado.
Eso crea otro problema:
La defensa digital del mundo puede terminar dependiendo de unas pocas compañías.
Y eso es peligroso.
Porque si una empresa controla el modelo que encuentra vulnerabilidades, también controla quién puede usarlo.
Quién puede defenderse.
Qué países tienen acceso.
Qué empresas entran al programa.
Qué investigadores quedan fuera.
Qué riesgos se priorizan.
Y si mañana una orden del gobierno cambia las reglas, el acceso se puede cortar.
Ese es el peligro de la IA centralizada.
No solo que sea poderosa.
Sino que el poder esté demasiado concentrado.
Una cosa es usar IA.
Otra cosa es construir toda tu defensa, tu conocimiento y tu operación sobre una inteligencia que no controlas.
Qué deberían hacer las empresas
No esperes a que la IA te ataque para tomar acción.
Ya viene.
Empieza a revisar tu seguridad como si tus atacantes fueran a tener mejores herramientas cada seis meses.
Porque probablemente las van a tener.
Eso significa:
Auditar tu código.
Mantener software actualizado.
Crear procesos claros para vulnerabilidades.
Tener backups reales.
Entrenar a tu equipo.
Y sobre todo:
No depender de una sola herramienta, una sola nube, un solo proveedor o un solo modelo.
En un mundo donde la IA acelera tanto el ataque como la defensa, la empresa que no tenga sistemas fuertes va a quedar expuesta.
Conclusión
La ciberseguridad acaba de entrar en la era de IA contra IA.
Post de la semana: La IA podria cambiar el dating!
Gracias por ser parte de esta gran comunidad
Pura vida!
Ivan Acuna (@ivanelgrande)
