Anthropic está ampliando el acceso a su programa Project Glasswing, agregando aproximadamente 150 organizaciones en 15 países, anunció la compañía el martes, ya que su modelo restringido Claude Mythos Preview ya ha revelado más de 10,000 vulnerabilidades de software de gravedad alta o crítica desde que se lanzó el programa a principios de abril.

La expansión sigue a un grupo inicial de aproximadamente 50 socios que se anunciaron cuando Anthropic presentó por primera vez la iniciativa. Esos miembros incluían empresas de tecnología como Amazon Web Services, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks, entre otras.

Según el anuncio, el nuevo grupo cubre sectores que estaban subrepresentados en la primera ola, incluidos la energía, el agua, la atención médica, las comunicaciones y el hardware. Muchos de los nuevos socios son proveedores cuyas bases de código sustentan los sistemas de infraestructura críticos.

La empresa no dio más detalles sobre qué empresas u organizaciones formaban parte de la nueva cohorte.

La escala de lo que Mythos Preview ya ha descubierto está llamando la atención en toda la industria de la seguridad. Cloudflare identificó 2.000 errores en sus sistemas de ruta crítica, incluidos 400 clasificados como altos o críticos, con una tasa de falsos positivos que la compañía describió como mejor que la de los evaluadores humanos. Mozilla encontró y solucionó 271 vulnerabilidades en Firefox 150 mientras probaba el modelo, más de 10 veces el número encontrado en una versión anterior de Firefox que usaba un modelo Anthropic anterior. Varios otros socios informaron que sus tasas de descubrimiento de errores se multiplicaron por más de diez después de implementar el modelo.

Anthropic también utilizó Mythos para escanear más de 1.000 proyectos de código abierto, señalando 23.019 vulnerabilidades potenciales, 6.202 de ellas estimadas como altas o críticas. De 1.752 hallazgos con calificación alta o crítica revisados ​​de forma independiente, más del 90% fueron confirmados como válidos.

Los hallazgos han cambiado lo que Anthropic describe como el tema central de la ciberseguridad. A pesar de la capacidad mejorada para descubrir fallas, la compañía admite que existen desafíos para verificarlas, revelarlas y parchearlas antes de que los atacantes puedan aprovecharlas.

«El cuello de botella para corregir errores como estos es la capacidad humana para clasificarlos, informarlos, diseñar e implementar parches para ellos», dijo la compañía. en su entrada de blog.

Ese cuello de botella tiene implicaciones más amplias. Un informe conjunto de Cloud Security Alliance, SANS Institute y OWASP concluyó que es probable que las organizaciones “se vean abrumadas” en el corto plazo por actores de amenazas que utilizan IA para encontrar y explotar vulnerabilidades más rápido de lo que los defensores pueden parchearlas.

Anthropic ha dicho que no lanzará modelos de clase Mythos al público en general, citando la ausencia de salvaguardias suficientes para evitar un uso indebido grave. Mientras tanto, ha publicado Claude Seguridadun producto que utiliza su modelo Claude Opus 4.8 disponible públicamente y que se ha utilizado para parchear más de 2100 vulnerabilidades en tres semanas.

La expansión del programa se produce cuando los esfuerzos de seguridad de la IA de la administración Trump siguen sin resolverse. Una orden ejecutiva muy esperada que aborda la ciberseguridad de la IA y la supervisión del modelo fronterizo fue retirada horas antes de la firma prevista en mayo. El borrador de la orden proponía un marco voluntario que exigía a los desarrolladores de IA presentar modelos avanzados a una revisión gubernamental hasta 90 días antes de su publicación pública, y la Agencia de Seguridad Nacional tenía la última palabra sobre qué sistemas calificaban como «modelos de frontera cubierta».

No quedó claro de inmediato cuándo podría reprogramarse la firma en la Casa Blanca.