Altos funcionarios del gobierno de Estados Unidos sostuvieron reuniones con directivos de las principales empresas de inteligencia artificial para abordar riesgos críticos de ciberseguridad asociados al modelo Claude Mythos Preview de Anthropic, previo a su lanzamiento limitado.
El vicepresidente JD Vance y el secretario del Tesoro Scott Bessent participaron en estos encuentros, que incluyeron a líderes de compañías como OpenAI, Google, Microsoft, xAI y Anthropic. También estuvieron presentes ejecutivos como Sam Altman, Sundar Pichai, Satya Nadella, Elon Musk y Dario Amodei, junto a representantes de firmas de seguridad como CrowdStrike y Palo Alto Networks.
De forma paralela, el secretario del Tesoro y el presidente de la Reserva Federal, Jerome Powell, convocaron a líderes de bancos como Goldman Sachs y Bank of America para advertir sobre posibles riesgos sistémicos en el sector financiero.
La alerta se originó tras las capacidades detectadas en el modelo Claude Mythos Preview, que ha demostrado identificar y explotar vulnerabilidades de “día cero” en segundos, encontrando fallos en navegadores y sistemas operativos ampliamente utilizados.
Ante este escenario, Anthropic decidió restringir el acceso al modelo y limitar su uso a aproximadamente 40 empresas tecnológicas, con el objetivo de prevenir que actores malintencionados automaticen ciberataques a gran escala. Como parte de las medidas de mitigación, la compañía lanzó la iniciativa Project Glasswing, que permite a socios como Apple, Amazon Web Services, Google, Microsoft y NVIDIA utilizar el sistema para identificar y corregir vulnerabilidades antes de un despliegue más amplio.
Las preocupaciones de las autoridades se centran especialmente en infraestructuras críticas, incluyendo servidores basados en Linux y plataformas de trading algorítmico, que podrían ser comprometidas si estas capacidades se utilizan con fines maliciosos.
Durante las pruebas, el modelo identificó miles de vulnerabilidades críticas, algunas con décadas de antigüedad, que no habían sido detectadas por herramientas tradicionales. Entre los hallazgos se incluyen fallos en sistemas como OpenBSD, donde detectó un error de 27 años que permitía colapsar máquinas de forma remota; en el kernel de Linux, donde logró encadenar vulnerabilidades para obtener control total del sistema; y en FreeBSD, donde desarrolló un exploit de ejecución remota con acceso root para usuarios no autenticados.
Asimismo, identificó una falla de 16 años en FFmpeg, ampliamente utilizado en plataformas digitales, que no había sido detectada pese a múltiples revisiones. También diseñó exploits complejos para navegadores web mediante técnicas de “heap spray”, logrando evadir entornos de seguridad aislados.
El modelo también detectó vulnerabilidades en infraestructura crítica, incluyendo fallos en monitores de máquinas virtuales que permitirían ataques entre sistemas huésped y anfitrión.
Entre sus capacidades ofensivas, las pruebas evidenciaron que el sistema puede evadir mecanismos de seguridad, realizar ingeniería inversa sobre software sin acceso al código fuente y eludir sistemas de autenticación, incluido el segundo factor (2FA), lo que incrementa los riesgos en entornos digitales sensibles.
