Mythos cambió las matemáticas sobre el descubrimiento de vulnerabilidades. La mayoría de los equipos no están preparados para la parte de remediación
Claude Mythos Preview de Anthropic ha dominado las discusiones sobre seguridad desde su anuncio el 7 de abril. Los primeros informes describen un poderoso sistema de inteligencia artificial centrado en la ciberseguridad capaz de identificar vulnerabilidades a escala y plantear serias dudas sobre la rapidez con la que las organizaciones pueden validar, priorizar y remediar lo que encuentran.
El debate que siguió se centró principalmente en las preguntas correctas: ¿Se trata de un cambio radical o de un avance gradual? ¿Restringir el acceso a Microsoft, Apple, AWS y JPMorgan realmente reduce el riesgo, o simplemente concentra la ventaja defensiva entre los que ya están bien defendidos? ¿Qué sucede cuando los adversarios (actores estatales, empresas criminales) crean capacidades equivalentes?
Estos son importantes. Pero hay un problema operativo más silencioso que está recibiendo menos atención y es el que realmente determinará si la mayoría de las organizaciones sobrevivirán a este cambio.
La brecha entre el descubrimiento y la remediación
El anuncio de Mythos y la conversación más amplia sobre seguridad de la IA que inició tiene que ver en gran medida con descubrimiento vulnerabilidades más rápido. Eso es valioso. Pero encontrar una vulnerabilidad y fijación Son dos flujos de trabajo completamente diferentes, y la brecha entre ellos es donde la mayoría de los programas de seguridad desaparecen silenciosamente. Esa es exactamente la brecha PlexTrac Fue construido para cerrar.
Considere lo que normalmente sucede después de que una prueba de penetración o un análisis de vulnerabilidad revela un hallazgo crítico: entra en una hoja de cálculo, un ticket o un informe en PDF que llega a la bandeja de entrada de alguien. El equipo de seguridad lo sabe. El equipo de ingeniería puede que lo sepa o no. La propiedad de la remediación es ambigua. No existe una forma clara de rastrear si el parche realmente se envió, si se le quitó prioridad o si alguna vez se programó una nueva prueba. Mientras tanto, los hallazgos lo son.
Los modelos de IA como Mythos acelerarán la aporte lado de este oleoducto dramáticamente. Pueden descubrir vulnerabilidades a un ritmo y profundidad que los equipos rojos humanos simplemente no pueden igualar. Pero si la infraestructura organizacional para clasificar, priorizar, comunicar y verificar las soluciones no ha seguido el ritmo, un descubrimiento más rápido sólo significa una acumulación de problemas críticos sin resolver que crece más rápidamente.
Éste es el problema que un modelo como Mythos en realidad agudiza. Si su proceso de pentest actual tarda tres semanas en revelar diez hallazgos de alta gravedad, y la remediación ya está luchando por mantenerse al día, ¿qué sucede cuando esa misma área de superficie se escanea continuamente y genera hallazgos a un ritmo diez veces mayor?
El problema del falso positivo de Schneier es real
Bruce Schneier planteó un punto importante en su artículo: no conocemos la tasa de falsos positivos de Mythos en la producción sin filtrar. Anthropic informa un 89% de acuerdo de gravedad con los contratistas humanos en los hallazgos que exhibido—Pero esa es una muestra seleccionada, no una distribución completa. Los sistemas de inteligencia artificial que detectan casi todos los errores reales también tienden a generar vulnerabilidades que parecen plausibles en el código parcheado o corregido.
Esto es importante desde el punto de vista operativo. Una herramienta que genera falsos positivos a escala que suenan muy confiables no reduce la carga del equipo de seguridad, sino que la aumenta. Cada hallazgo crítico espurio que debe ser evaluado y descartado es tiempo que un ingeniero de seguridad no dedica a uno real. El valor del descubrimiento de vulnerabilidades asistido por IA solo se materializa si los hallazgos que surgen de él pueden evaluarse de manera eficiente, contextualizarse frente al riesgo comercial real y enviarse a las personas adecuadas.
Cómo luce realmente el problema de la infraestructura
Los equipos mejor posicionados para absorber la velocidad de descubrimiento de la era de los Mitos son los que ya tienen tres cosas en su lugar:
Gestión centralizada de hallazgos. Ni un sistema de tickets, ni un tablero JIRA adjunto a una hoja de cálculo. Un lugar especialmente diseñado donde los hallazgos de vulnerabilidades de múltiples fuentes (resultados del escáner, informes de pentest, interacciones del equipo rojo) se encuentran en un formato normalizado y consultable. Sin esto, la integración de los hallazgos generados por la IA sólo añade otro silo de datos.
Priorización contextualizada del riesgo. Las puntuaciones CVSS sin procesar son un punto de partida, no una decisión. Un hallazgo crítico en un sistema interno y aislado no es el mismo riesgo que el mismo hallazgo en una API orientada al cliente. Las organizaciones que solo pueden ordenar por puntuación de gravedad se verán abrumadas cuando el descubrimiento de IA comience a producir hallazgos en volumen; Las organizaciones que pueden calificar según la criticidad de los activos, el impacto comercial y el contexto de exposición pueden realizar una clasificación inteligente.
Remediación dinámica basada en riesgos mediante puntuación configurable
Seguimiento de remediación de circuito cerrado. Aquí es donde la mayoría de los programas realmente fallan. Un hallazgo que no se verifica como solucionado es solo un pasivo que tiene un nombre. Las pruebas continuas, los flujos de trabajo de corrección estructurados y las transferencias claras de propiedad no son características interesantes: son la diferencia entre un programa de seguridad que mejora con el tiempo y uno que simplemente acumula riesgos documentados.
PlexTrac es una plataforma de gestión de exposición e informes pentest que se ha estado construyendo exactamente en esta dirección: datos de hallazgos centralizados, priorización de riesgos contextuales y flujos de trabajo de remediación estructurados.
Mythos (y herramientas similares) serán muy buenos para indicarle que su casa tiene problemas estructurales. PlexTrac es la capa operativa que garantiza que esos problemas realmente se solucionen, se asigne al contratista adecuado y alguien verifique el trabajo antes de cerrarlo. Ambos son necesarios. La mayoría de las organizaciones han invertido en el equivalente de mejores inspecciones de viviendas y al mismo tiempo han permitido que el sistema de seguimiento de reparaciones permanezca en un documento de Google compartido.
El problema de acceso que Schneier identificó también es un problema de flujo de trabajo
Una crítica al Proyecto Glasswing es que concentrar el acceso a Mythos entre 50 grandes proveedores significa que las organizaciones mejor equipadas para actuar sobre los hallazgos los obtienen primero. Las empresas Fortune 500, como señaló el artículo de Fortune del ex director cibernético nacional, están mejor posicionadas para absorber y remediar; son las PYME, los operadores de infraestructura regional y los sistemas industriales especializados los que están más expuestos y cuentan con menos recursos.
Se trata de un problema estructural de acceso que las políticas tendrán que abordar. Pero también implica un problema de flujo de trabajo: incluso si se democratizara el acceso, muchas organizaciones más pequeñas no tienen la infraestructura operativa para convertir los hallazgos de seguridad generados por IA en soluciones ejecutadas. Las herramientas que reducen los gastos generales de ese proceso (informes más rápidos, comunicación de hallazgos más clara, transferencias de remediación con menor fricción) son posiblemente más importantes para esas organizaciones que para las empresas que ya pueden dedicar personal al problema.
La conclusión práctica
El momento Mythos es una función forzada útil. No porque signifique que sus sistemas definitivamente estarán comprometidos mañana, sino porque hace visible una brecha que ha estado creciendo silenciosamente durante años: los equipos de seguridad están mejorando en la búsqueda de problemas, mientras que la maquinaria organizacional para solucionarlos ha evolucionado mucho más lentamente.
La respuesta correcta no es el pánico y no es esperar a ver si el acceso a Glasswing eventualmente se expande para incluirlo a usted. Está tomando el anuncio de Mythos como un aviso para auditar su propio proceso de remediación: ¿Cuánto tiempo lleva un hallazgo crítico pasar del descubrimiento a la solución verificada? ¿Cuántos hallazgos abiertos de alta gravedad se encuentran actualmente en algún estado ambiguo de «estar trabajando»? ¿Puede realmente volver a realizar la prueba después de la corrección o simplemente confía en que el ticket de ingeniería se cerró?
Esas preguntas no requieren acceso a Mythos para responder. Y para la mayoría de los equipos, las respuestas serán más incómodas que cualquier cosa del documento técnico de 245 páginas de Anthropic.
