Bajo el proyecto Glasswing, el modelo Claude Mythos de Anthropic ha estado descubriendo fallos de seguridad en el software de Microsoft a un ritmo que supera la capacidad de la empresa para corregirlos, lo que deja una acumulación creciente de vulnerabilidades sin parchear en un limbo de divulgación.
El proyecto Glasswing, anunciado en abril de 2026, reunió a Amazon, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, Nvidia, Palo Alto Networks y otras empresas, partiendo de la premisa de que los modelos de IA de vanguardia podrían cambiar de forma fundamental la manera en que se protege el software crítico. Anthropic facilitó el acceso a una vista previa de Claude Mythos, un modelo entrenado con capacidades mejoradas para el análisis de código y el descubrimiento de vulnerabilidades.
Los resultados han sido espectaculares y desestabilizadores. Según la información publicada por ProPublica, los ingenieros de Microsoft han estado corriendo para parchear las vulnerabilidades antes de que llegue el siguiente lote de hallazgos. En una sesión celebrada a mediados de mayo, decenas de ingenieros y directivos de Microsoft se reunieron en la sede de la compañía en Redmond para analizar los hallazgos de una sola ronda de análisis de Glasswing. El volumen de vulnerabilidades críticas identificadas por el modelo de Anthropic ha superado en repetidas ocasiones las horas de ingeniería disponibles para corregirlas.
Esta dinámica genera una presión inusual: las mismas herramientas de IA que hacen que el software sea más seguro al encontrar errores también revelan lo frágil que es el proceso de remediación dirigido por humanos. Microsoft no está ignorando los hallazgos; la empresa los está procesando uno a uno. Pero el rendimiento de los ingenieros humanos de seguridad, limitado por los ciclos de revisión de código, las pruebas de regresión y los calendarios de despliegue, no puede igualar la producción de un modelo que analiza las bases de código a velocidad de máquina.
Los expertos en seguridad nacional han estado siguiendo de cerca el proyecto desde que Glasswing salió a la luz, anticipando exactamente este escenario: el descubrimiento por IA supera el ritmo de los parches humanos, lo que crea una ventana en la que existen vulnerabilidades conocidas sin solución. El modelo tradicional de divulgación responsable, concebido en torno a un investigador humano que encuentra un error a la vez, no fue diseñado para un mundo en el que la IA encuentra cientos.
La situación pone de relieve un cambio más amplio en la ciberseguridad. El cuello de botella ya no es la detección, sino la remediación. Y ese es un problema que ningún modelo, por capaz que sea, ha resuelto todavía.
Traducido por Alessandra
Fuentes: Ars Technica (29 de julio de 2026); ProPublica (29 de julio de 2026); Anthropic (7 de abril de 2026)