{"id":539,"date":"2026-04-13T22:36:40","date_gmt":"2026-04-13T22:36:40","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/13\/asi-es-como-los-pesos-pesados-ciberneticos-de-ee-uu-y-el-reino-unido-estan-lidiando-con-claude-mythos\/"},"modified":"2026-04-13T22:36:40","modified_gmt":"2026-04-13T22:36:40","slug":"asi-es-como-los-pesos-pesados-ciberneticos-de-ee-uu-y-el-reino-unido-estan-lidiando-con-claude-mythos","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/13\/asi-es-como-los-pesos-pesados-ciberneticos-de-ee-uu-y-el-reino-unido-estan-lidiando-con-claude-mythos\/","title":{"rendered":"As\u00ed es como los pesos pesados \u200b\u200bcibern\u00e9ticos de EE. UU. y el Reino Unido est\u00e1n lidiando con Claude Mythos"},"content":{"rendered":"
\n

un porro informe<\/a> de Cloud Security Alliance (CSA), el Instituto SANS y el Open Worldwide Application Security Project (OWASP) concluye que, en el corto plazo, es probable que las organizaciones \u201cse vean abrumadas\u201d por actores de amenazas que utilizan IA para encontrar y explotar vulnerabilidades m\u00e1s r\u00e1pido de lo que los defensores pueden parchearlas.<\/p>\n

Si bien esas organizaciones pueden utilizar herramientas de inteligencia artificial para acelerar sus propias defensas, los atacantes \u00abtodav\u00eda enfrentan una carga relativa m\u00e1s pesada debido a las limitaciones inherentes de la aplicaci\u00f3n de parches. Esto a su vez conduce a \u00abbeneficios asim\u00e9tricos\u00bb para los atacantes que pueden darse el lujo de adoptar la tecnolog\u00eda sin la misma cautela y burocracia que una empresa multimillonaria.<\/p>\n

\u00abEl costo y la capacidad para explotar el descubrimiento est\u00e1n cayendo, el tiempo entre la divulgaci\u00f3n y el uso de armas se est\u00e1 reduciendo a cero, y las capacidades que antes requer\u00edan recursos de los estados-naci\u00f3n ahora se est\u00e1n volviendo ampliamente accesibles\u00bb, escribieron Robert Lee, director de inteligencia artificial del Instituto SANS, Gadi Evron, director ejecutivo de Knostic y Rich Mogull, analista jefe de CSA, quienes fueron los autores principales.<\/p>\n

El informe marca una de las primeras respuestas integrales a las capacidades de Claude Mythos de los EE. UU., que cuenta con luminarias de la ciberseguridad que han establecido pol\u00edticas en los niveles m\u00e1s altos como autores contribuyentes, incluida Jen Easterly, ex directora de la Agencia de Seguridad de Infraestructura y Ciberseguridad, Rob Joyce, ex alto funcionario de ciberseguridad de la Casa Blanca y la NSA, y Chris Inglis, ex director nacional de ciberseguridad.<\/p>\n

Tambi\u00e9n incluye a incondicionales del sector privado como Heather Adkins, CISO de Google, Katie Moussouris, directora ejecutiva de Luta Security, y Sounil Yu, director de tecnolog\u00eda de Knostic. Otros setenta CISO, CTO y otros ejecutivos de seguridad son nombrados editores y revisores.<\/p>\n

Tambi\u00e9n esta semana, el Instituto de Seguridad de IA (AISI) del Reino Unido detallado<\/a> los resultados de las pruebas que realiz\u00f3 en una versi\u00f3n preliminar de Claude Mythos, calific\u00e1ndolo de \u00abun paso adelante\u00bb con respecto a los modelos Anthropic anteriores en el \u00e1mbito de la ciberseguridad y capaz de \u00abejecutar ataques de m\u00faltiples etapas en redes vulnerables y descubrir y explotar vulnerabilidades de forma aut\u00f3noma\u00bb.<\/p>\n

Utilizando una combinaci\u00f3n de ejercicios de Capture the Flag y pruebas de alcance cibern\u00e9tico, los investigadores de AISI descubrieron que Mythos no solo elev\u00f3 el l\u00edmite de usuarios t\u00e9cnicos no expertos y de nivel aprendiz, sino que redujo la brecha general en la competencia de pirater\u00eda entre los dos. En otras palabras, cada vez hay menos distinci\u00f3n entre las capacidades de los \u201cscript kiddies\u201d aficionados y los hackers de nivel medio con conocimientos t\u00e9cnicos.<\/p>\n

\"\"
Claude Mythos y otros modelos de lenguajes grandes est\u00e1n aumentando las capacidades de los piratas inform\u00e1ticos de nivel medio y bajo cuando se trata de resolver tareas y desaf\u00edos espec\u00edficos de ciberseguridad. (Fuente: AISI)<\/figcaption><\/figure>\n

Antes de abril de 2025, ning\u00fan modelo de lenguaje grande pod\u00eda completar un \u00fanico problema CTF de nivel experto. Mythos resolvi\u00f3 con \u00e9xito casi tres cuartas partes (73%) de ellos.<\/p>\n

En las pruebas de alcance cibern\u00e9tico, que est\u00e1n destinadas a simular ataques multicadena m\u00e1s complejos, los resultados fueron desiguales, pero tambi\u00e9n representaron un progreso significativo con respecto a los modelos Claude anteriores.<\/p>\n

Mythos fue sometido a un manual de ataque de 32 pasos modelado en redes corporativas, que abarca desde el acceso inicial a la red hasta la toma total de control de la misma. En tres de las 10 simulaciones, el modelo complet\u00f3 un promedio de 24 de los 32 pasos. Las versiones m\u00e1s antiguas de Claude y otros modelos fronterizos nunca promediaron m\u00e1s de 16.<\/p>\n

\"\"
Claude Mythos mejor\u00f3 la capacidad de otros modelos para completar un ciberataque de 32 pasos dirigido a un entorno de red corporativa simulado. (Fuente: AISI)<\/figcaption><\/figure>\n

Mythos reprob\u00f3 su prueba contra una torre de enfriamiento de tecnolog\u00eda operativa simulada, pero los investigadores notaron que esto no significa que la IA sea mala para explotar OT: el modelo en realidad fall\u00f3 durante la secci\u00f3n de TI del ejercicio.<\/p>\n

Los investigadores del Reino Unido fueron m\u00e1s mesurados en su an\u00e1lisis de Mythos, se\u00f1alando que sus pruebas indican que es \u201cal menos capaz\u201d de derribar de forma aut\u00f3noma redes empresariales m\u00e1s peque\u00f1as y d\u00e9bilmente defendidas.<\/p>\n

Pero tambi\u00e9n se\u00f1alan que sus rangos cibern\u00e9ticos carecen de caracter\u00edsticas de seguridad (como defensores activos y herramientas defensivas) que ser\u00edan comunes en muchas redes del mundo real y presentar\u00edan obst\u00e1culos adicionales, y tampoco penalizaron al modelo por activar alertas de seguridad.<\/p>\n

\u00abEsto significa que no podemos decir con seguridad si Mythos Preview ser\u00eda capaz de atacar sistemas bien defendidos\u00bb, concluyeron los investigadores.<\/p>\n

Deuda t\u00e9cnica vencida <\/h4>\n

Tanto el informe de EE.UU. como el del Reino Unido coinciden en que los grandes modelos ling\u00fc\u00edsticos se est\u00e1n moviendo en t\u00e9rminos generales en una direcci\u00f3n similar de reducci\u00f3n de la barrera t\u00e9cnica. Los autores estadounidenses piden que las organizaciones adopten m\u00e1s r\u00e1pidamente la IA para la ciberdefensa y, al mismo tiempo, revisen sus manuales de respuesta a incidentes y sus pol\u00edticas corporativas para tener en cuenta posturas de defensa m\u00e1s automatizadas.<\/p>\n

Por su parte, Anthropic ha dicho que no vender\u00e1 Mythos comercialmente y la semana pasada anunci\u00f3 que el modelo estar\u00eda disponible para Project Glasswing, un consorcio de importantes empresas tecnol\u00f3gicas que lo utilizar\u00e1n para erradicar y parchear vulnerabilidades en productos y servicios de uso com\u00fan. <\/p>\n

Pero otros expertos han advertido que las empresas y los gobiernos no est\u00e1n bien posicionados para absorber la afluencia de la explotaci\u00f3n de vulnerabilidades esperada ni para aprovechar h\u00e1bilmente sus propias herramientas de inteligencia artificial para contrarrestarlas.<\/p>\n

Casey Ellis, director de tecnolog\u00eda y fundador de Bugcrowd, escribi\u00f3<\/a> que los recientes avances en las herramientas cibern\u00e9ticas de IA han tenido \u00e9xito en gran medida porque \u201cviven en lugares donde dejamos de mirar hace una d\u00e9cada\u201d.<\/p>\n

Si bien la comunidad de ciberseguridad ha pasado a\u00f1os enfoc\u00e1ndose en la seguridad de las aplicaciones, la clasificaci\u00f3n de vulnerabilidades y otros problemas de seguridad de \u201ccapa superior\u201d, las herramientas de inteligencia artificial y los grupos de pirater\u00eda de nivel superior se han estado alimentando de vulnerabilidades en firmware olvidado o enrutadores cuyos fabricantes cerraron hace mucho tiempo.<\/p>\n

Esta realidad de que herramientas como Mythos pueden convertir en un arma la enorme deuda t\u00e9cnica de las grandes organizaciones ha tomado el tradicional dilema del defensor y \u00abla perilla que sol\u00eda ir a diez y la gir\u00f3 a setecientos\u00bb, escribi\u00f3 Ellis.<\/p>\n

Adem\u00e1s, las corporaciones y los gobiernos se basan en la creaci\u00f3n de consenso, m\u00faltiples niveles de jerarqu\u00eda y cumplimiento legal. Si bien todo esto es necesario cuando se entrega la ciberseguridad a herramientas automatizadas, tambi\u00e9n puede conducir a un proceso m\u00e1s lento y a una mayor asimetr\u00eda contra los defensores en el corto plazo.<\/p>\n

\u00abLa integraci\u00f3n a la producci\u00f3n real se convierte en el campo de batalla\u00bb, escribi\u00f3 Ellis. \u00abEl retraso es real. La burocracia es real. Las cadenas de suministro son reales\u00bb.<\/p>\n