El FBI ve los Mitos de Anthropic como un desafío para las fuerzas del orden

Avances en las capacidades del modelo de IA, como los que se encuentran en Anthropic Mitosestán generando preocupación por parte de las agencias policiales sobre lo que los adversarios podrían ser capaces de hacer con las tecnologías emergentes, dijo el martes un funcionario del FBI.

La administración Trump controles de exportación impuestos sobre el modelo Mythos 5 en junio, poco después de su lanzamiento, citando implicaciones para la seguridad nacional. en un blog Al realizar una vista previa de las capacidades del modelo, Anthropic dijo que Mythos 5 podría identificar y explotar errores que no se conocían anteriormente «en todos los sistemas operativos principales». Durante las últimas semanas, el se levantaron las prohibiciones después de que el fabricante de modelos trabajara con el gobierno y otros socios para revisar las barandillas.

Si bien se agregaron nuevas salvaguardias, la cautela derivada del aumento de capacidades todavía está presente.

«Mythos encontró vulnerabilidades en algunos de los códigos de fuente abierta que son tan ubicuos; se encuentran en la gran mayoría de nuestro código más fundamental para cosas como sistemas operativos, seguridad, infraestructura web, cifrado», dijo Todd Hemmen, subdirector adjunto del FBI, durante una conferencia. Instituto de Gobierno Digital evento. «Presenta desafíos futuros para la aplicación de la ley».

El FBI es la agencia federal líder en la investigación de ciberataques e intrusiones, lo que la sitúa a la vanguardia de un panorama en constante cambio.

“Ver el potencial para exponer vulnerabilidades… y comprender que el futuro tiene potencial para un aumento en ese tipo de casos y explotaciones por parte de nuestros adversarios es algo más nuevo”, dijo Hemmen. «Aunque no hemos visto esto operativo a escala, la expectativa es que habrá una fecha futura en la que esto sucederá».

Cuando cualquiera puede acceder a herramientas con amplias implicaciones de seguridad, la lista de sospechosos crece y las investigaciones se vuelven más complejas. Si bien Mythos 5 solo está disponible para un grupo selecto aprobado por el gobierno de EE. UU., un modelo construido por Anthropic con la misma tecnología subyacente está disponible a nivel mundial. El proveedor de IA también descubrió que los modelos «menos capaces» podían identificar vulnerabilidades y explotarlas de la misma manera.

«La IA nos presentará desafíos importantes en el futuro», dijo Hemmen.

Uso interno de IA

A medida que los avances de la IA están cambiando el panorama de aplicación de la ley para el FBI, la tecnología también está alterando la forma en que opera internamente la unidad del Departamento de Justicia.

«Como empresa, estamos aprovechando la IA para la tecnología de reconocimiento facial», afirmó Hemmen.

En el último inventario de casos de uso de IA de la agencia que se publicó a principios de este año, el FBI identificó un puñado de nuevos proyectos destinados a generar pistas de investigación utilizando coincidencias faciales y otros datos. Los casos de uso se caracterizan por ser de alto impacto, lo que significa que podrían servir como base principal para decisiones o acciones que tengan un efecto legal, material, vinculante o significativo sobre los derechos o la seguridad.

A pesar de la fecha límite del 3 de abril establecida por la Oficina de Administración y Presupuesto, el FBI no ha completado sus requisitos de gestión de riesgos para ninguno de sus casos de uso de alto impacto, según el inventario.

En general, la división del Departamento de Justicia tiene alrededor de 50 casos de uso de IA. El personal del FBI está aprovechando la tecnología para ayudar a examinar informes públicos de acusaciones criminales, mejorar las operaciones ofensivas autorizadas por el tribunal y como parte de una investigación general, entre otros casos de uso.

«Estamos utilizando IA para ayudar a clasificar esas cosas y con un humano al tanto para revisar todo lo que se está haciendo», dijo Hemmen.

Lindsey Wilkinson

Escrito por Lindsey Wilkinson

Lindsey Wilkinson es reportera de FedScoop en Washington, DC y cubre TI gubernamental con especial atención en DHS, DOT, DOE y varias otras agencias. Antes de unirse a Scoop News Group, Lindsey cubrió de cerca el aumento de la IA generativa en las empresas, explorando la evolución de la gobernanza de la IA y los esfuerzos de mitigación de riesgos. Ha escrito en CIO Dive, Homeland Security Today, The Crimson White y la revista Alice.

Una sesión informativa cerrada prepara el escenario para la audiencia de la Cámara sobre los mitos y los riesgos cibernéticos de Anthropic

El Comité de Seguridad Nacional de la Cámara de Representantes está investigando el modelo de inteligencia artificial Mythos de Anthropic en una serie de sesiones informativas y audiencias, mientras proliferan las preguntas sobre si el gobierno federal hará uso de la tecnología promocionada por su capacidad para descubrir vulnerabilidades cibernéticas de forma autónoma y cómo.

El miércoles hubo una sesión informativa a puertas cerradas de Anthropic para el Comité de Seguridad Nacional de la Cámara de Representantes. El presidente del subcomité de ciberseguridad del panel dijo que planea celebrar una audiencia sobre el tema. Y los demócratas del comité están solicitando una reunión informativa clasificada con Anthropic.

Un asistente del comité que asistió a la sesión informativa dijo que incluía una demostración en vivo de Mythos, «permitiendo a los miembros ver de primera mano cómo la IA avanzada puede identificar y razonar a través de vulnerabilidades de software. Lo que vimos reforzó la urgencia de garantizar que las agencias federales, incluidos nuestros ciberdefensores civiles, puedan acceder y desplegar de manera responsable los modelos estadounidenses más avanzados para encontrar y reparar vulnerabilidades antes de que adversarios extranjeros o actores criminales las exploten».

Varios legisladores clave, incluido el demócrata del comité principal Bennie Thompson de Mississippi y el presidente del subcomité cibernético del Partido Republicano Andy Ogles de Tennessee, dijeron a CyberScoop que no pudieron asistir a la sesión informativa del miércoles. Una segunda fuente que asistió dijo que fue una reunión «productiva».

«Los miembros de ambos lados se centraron en preservar la ventaja de Estados Unidos en IA, lo que básicamente se redujo a preservar nuestra ventaja en potencia informática», dijo la fuente. «También hacían preguntas sobre si el gobierno federal estaba utilizando Mythos, incluso sobre dónde está CISA y el impacto de la designación de riesgo de la cadena de suministro».

The Hill informó que la sesión informativa del miércoles fue guiado en el lado antrópico por Logan Graham, del equipo rojo fronterizo de la compañía, y Josh Tilstra, del equipo de políticas y programas de seguridad nacional de la empresa. sigue otra sesión informativa cerrada reciente con Anthropic y OpenAI para el Comité de Seguridad Nacional de la Cámara de Representantes.

Ogles le dijo a CyberScoop que planea celebrar una audiencia de su subcomité relacionada con Mythos, pero no pudo asistir a la sesión informativa del miércoles debido a conflictos de programación. La principal demócrata en el subcomité de Ogle, Delia Ramírez de Illinois, tampoco pudo unirse debido a compromisos previos, pero estaba lista para recibir un resumen del personal sobre la sesión informativa del miércoles, dijo su oficina.

Existe una división sobre qué agencias federales están utilizando Mythos hasta el momento. Por ejemplo: CISA supuestamente no espero la Agencia de Seguridad Nacional es.

La división federal sobre su uso se debe a una lista negra del Departamento de Defensa que calificó a la empresa como un «riesgo para la cadena de suministro» después de Anthropic resistió la presión del Pentágono utilizar su modelo Claude AI en formas a las que la empresa se oponía. El departamento lo dice ha estado usando Mythos para identificar vulnerabilidades cibernéticas a pesar de la lista negra.

Se está gestando una batalla territorial dentro de la administración Trump sobre las pruebas de modelos de IA, informó The Washington Post esta semana. El representante de Connecticut Jim Himes, el principal demócrata en el Comité de Inteligencia de la Cámara de Representantes, dijo esta semana que Sería una “locura” que las agencias de espionaje estadounidenses no tengan acceso temprano a modelos avanzados de IA.

La sesión informativa de Mythos se produjo un día después de que OpenAI anunciara su propia iniciativa de ciberseguridad.

El asistente del comité dijo que «mientras la República Popular China trabaja agresivamente para cerrar la brecha de innovación en IA con los Estados Unidos, el comité sigue centrado en garantizar que el liderazgo de la IA de Estados Unidos se traduzca en una ventaja duradera para la seguridad nacional, no en una ventaja temporal que los adversarios puedan copiar, robar o mercantilizar rápidamente».

Actualizado el 13/05/26: para incluir comentarios de un asistente del comité que asistió a la sesión informativa.

Tim Starks

Escrito por Tim Starks

Tim Starks es reportero senior de CyberScoop. Sus paradas anteriores incluyen trabajar en The Washington Post, POLITICO y Congressional Quarterly. Originario de Evansville, Indiana, se ocupa de la ciberseguridad desde 2003. Envíe un correo electrónico a Tim aquí: tim.starks@cyberscoop.com.

Los mitos pueden encontrar la vulnerabilidad. No puede decirte qué hacer al respecto.

Los mitos importan. Es un importante paso adelante en el descubrimiento de vulnerabilidades asistido por IA. Pero esto no significa que la ciberseguridad haya cambiado de la noche a la mañana, ni que las empresas se enfrenten repentinamente mañana a una explotación totalmente automatizada a escala de Internet.

Significa que el lado ofensivo de la IA sigue mejorando. El lado defensivo necesita ponerse al día ahora.

Mythos es el último paso de una tendencia más larga. Durante los próximos años, se espera que se repita el mismo patrón: progreso incremental, luego un salto; progreso incremental, luego un salto. Los modelos serán más capaces y más baratos con cada ciclo, y cada salto ejercerá más presión sobre los equipos de seguridad que aún operan a velocidad humana.

Mythos demostró que la IA puede encontrar vulnerabilidades de software con una profundidad sin precedentes. Se trata de un progreso real y debe tomarse en serio. Sin embargo, este no fue un caso en el que la IA de repente hizo que los compromisos empresariales fueran baratos, fáciles o automáticos. Incluso en los propios ejemplos de Anthropic, el costo de descubrir una vulnerabilidad crítica fue significativo. Un ejemplo citó aproximadamente 20.000 dólares en costos de tokens para identificar un problema importante de OpenBSD.

Mythos hizo que el descubrimiento de vulnerabilidades fuera más barato de escalar al reemplazar los cuerpos con dólares. Pero encontrar una vulnerabilidad es sólo una parte de la realidad operativa.

Un atacante todavía tiene que determinar si esa vulnerabilidad es explotable en una empresa específica, identificar una ruta de ataque viable, obtener el acceso necesario y poner en funcionamiento con éxito el exploit en un entorno real. Nada de eso se volvió fácil simplemente porque un modelo encontró un error de software.

Y en el lado defensivo, Mythos aún no resuelve el problema empresarial mucho más difícil: ¿Cómo sé si esta vulnerabilidad es realmente explotable en mi entorno y cuál es la forma más eficiente de remediarla sin arruinar el negocio?

El verdadero problema empresarial no es el descubrimiento. Es priorización y acción. Los líderes de seguridad no luchan sólo porque existen vulnerabilidades. Luchan porque el costo operativo de decidir qué importa, qué es explotable, qué puede esperar y qué puede arreglarse de manera segura es enorme.

Si una gran empresa se entera de que se ha encontrado una vulnerabilidad crítica en un software ampliamente utilizado, el siguiente paso no es mágico. Es una dolorosa cadena de preguntas operativas centradas en dónde ejecutan el software, qué versión es, si existe una ruta de ataque realista y muchas más.

Mythos deja prácticamente sin cambios el costo defensivo de responder esas preguntas dentro de una empresa real. La lección correcta es la preparación.

Uno de los errores que suele cometer el mercado con la IA es asumir que cada nueva capacidad llega en el momento en que todo cambia. Lo correcto es comenzar ahora con sistemas de IA defensivos que sean útiles hoy y estén preparados para mejorar con el tiempo. Para la mayoría de las empresas, eso significa buscar productos de IA que ayuden a mejorar la investigación de alertas, la búsqueda de amenazas y la gestión de vulnerabilidades, que ofrezcan capacidades de auditoría completas, se conecten a los datos y razones empresariales para proporcionar un contexto organizacional y evolucionen a medida que madura el panorama del modelo.

El objetivo es sentar las bases operativas ahora para un futuro en el que una mayor parte del trabajo pueda automatizarse de forma segura.

Hoy en día, los defensores necesitan sistemas que permitan a los humanos seguir involucrados mientras la máquina les ayuda a escalar. Con el tiempo, esa participación cambiará. Los analistas dedicarán menos tiempo a realizar trabajos repetitivos y más tiempo a orquestar, revisar y mejorar la forma en que se realiza el trabajo automatizado.

Con el tiempo, algunos flujos de trabajo deberán revisarse de forma masiva en lugar de una acción a la vez. Cuando la respuesta avanza a la velocidad de una máquina, es posible que un humano no apruebe cada acción correctiva individual. En cambio, necesitarán una vista del centro de control sobre los patrones: qué hizo el sistema hoy, qué funcionó, qué no y qué debería ajustarse mañana.

Se trata de un futuro muy distinto de la idea simplista de “reemplazar al analista”.

El verdadero futuro es aquel en el que los humanos pasen de realizar todas las tareas manualmente a supervisar sistemas, dar forma a políticas, revisar patrones y controlar cómo operan agentes cada vez más capaces.

El mito es una advertencia. No porque eso signifique que el cielo se está cayendo. Porque muestra hacia dónde se dirige el lado ofensivo. Los defensores deben actuar en consecuencia y con urgencia.

Alex Thaman es el director de tecnología de Andesite. Durante más de 20 años de carrera, Alex ha sido líder de ingeniería en Microsoft, Unity Software y Scale AI.

Alex Thaman

Escrito por Alex Thaman

Alex Thaman es el director de tecnología de Andesite. Durante más de 20 años de carrera, Alex ha sido líder de ingeniería en Microsoft, Unity Software y Scale AI.