El límite de lo que puede lograr la inteligencia artificial, conocida como IA avanzada, ha cruzado otro umbral. La IA ahora puede planificar y ejecutar operaciones cibernéticas complejas con una guía mínima y a velocidades que van mucho más allá de las capacidades humanas.
Al menos eso es lo que se desprende de una prueba independiente del Claude Mythos Preview, el último y más avanzado modelo de la familia Claude de sistemas de inteligencia artificial desarrollados por la firma tecnológica estadounidense Anthropic. Al igual que ChatGPT, pueden comprender y generar texto similar a un humano, analizar información y resolver problemas complejos.
El sector financiero está preocupado. Se basa en sistemas digitales estrechamente interconectados, que son objetivos particularmente atractivos para ataques cibernéticos sofisticados. Un ataque exitoso podría interrumpir los pagos, congelar el acceso a los fondos y socavar la confianza del público en el sistema bancario.
Los bancos más grandes del Reino Unido y Estados Unidos están preparando ensayos controlados bajo estrictas medidas de seguridad. Se les dará acceso seguro y controlado al modelo Mythos Preview en entornos aislados para evaluar su capacidad para detectar vulnerabilidades en sus sistemas, minimizando cualquier riesgo de uso indebido. Es un poco como investigar virus peligrosos en laboratorios de alta seguridad.
El Instituto para la Seguridad de la Inteligencia Artificial del Reino Unido, una organización de investigación dentro del Departamento de Ciencia, Innovación y Tecnología del gobierno, ya ha probado Mythos Preview en un punto de referencia exigente conocido como The Last Ones. Como sugiere el nombre, esta serie de desafíos pretendía ser el último obstáculo que los sistemas de inteligencia artificial deben superar antes de que se los considere capaces de automatizar completamente los complejos ciberataques del mundo real de principio a fin.
En una prueba controlada, Mythos Preview descubrió de forma autónoma miles de vulnerabilidades de día cero (fallas desconocidas incluso para los desarrolladores de software) en los principales sistemas operativos y navegadores web populares. Algunos de ellos pasaron desapercibidos durante hasta 27 años, a pesar de que el software había sido probado minuciosamente millones de veces.
Vídeo: Bloomberg TV.
En condiciones controladas, un operador humano experimentado suele necesitar unas 20 horas para completar el ejercicio. En el transcurso de diez lanzamientos independientes, Mythos logró un éxito total en tres ocasiones, lo que convierte a esta versión preliminar en el primer modelo de IA capaz de resolver una cadena de ataque completa de principio a fin.
Los resultados muestran una verdadera cadena autónoma de acciones secuenciales complejas. Como tal, Mythos Preview representa un salto significativo en la capacidad de la IA para actuar como un agente verdaderamente autónomo, planificando y ejecutando tareas complejas de varios pasos durante largos períodos de tiempo con una mínima intervención humana.
Pero la importancia de este avance tecnológico va mucho más allá de los ciberataques. Las mismas capacidades pronto podrían permitir que la IA gestione de forma autónoma el desarrollo de software, la investigación científica, las cadenas de suministro o las operaciones financieras. Mythos Preview marca un cambio de un poderoso asistente a un operador verdaderamente autónomo, con implicaciones de gran alcance para muchas industrias.
El dilema del doble uso
En lugar de publicarlo públicamente, Anthropic hasta ahora ha restringido el acceso a través de su Proyecto Glasswing, una iniciativa que brinda a determinadas empresas tecnológicas y proveedores de infraestructura crítica, incluidos Apple, Google, Microsoft, Cisco y Amazon, acceso controlado al modelo.
La visión declarada de Anthropic es “mantener seguro el software más importante del mundo” identificando y reparando fallas de seguridad en los sistemas operativos, navegadores y bibliotecas de misión crítica que sustentan prácticamente todos los sistemas digitales modernos antes de que puedan usarse. Sólo entonces Mythos se utilizará más ampliamente como sistema de inteligencia artificial de propósito general.
La gestión de vulnerabilidades tradicional es el proceso de identificar, evaluar y eliminar las debilidades del software y los sistemas antes de que los atacantes puedan explotarlas. Es una tarea lenta y laboriosa realizada por expertos. Los mitos pueden cambiar radicalmente este proceso, tanto en sentido positivo como negativo.
Su aparición crea un dilema clásico del doble uso: el mismo avance que fortalece las defensas cibernéticas también puede reducir la barrera a las operaciones ofensivas.
Anthropic afirma que Claude Mythos puede “proteger el software más crítico del mundo”. mundissima/Alami
El lado positivo es que esto podría permitir a los defensores descubrir y corregir miles de vulnerabilidades previamente desconocidas a una velocidad y escala sin precedentes, lo que podría hacer que el software de misión crítica sea mucho más seguro y reducir la ventana de ataques.
Muchos ciberdelitos modernos, como el ransomware, tienen éxito aprovechando vulnerabilidades conocidas o fácilmente descubiertas en sistemas sin parches. Estos podrían reducirse significativamente si los modelos de clase Mythos se usaran ampliamente para la detección de vulnerabilidades defensivas.
Sin embargo, los ataques de ransomware más complejos o dirigidos, especialmente aquellos que utilizan credenciales robadas, ingeniería social o cuentas ya comprometidas, tienen un riesgo mucho menor porque a menudo evitan por completo las vulnerabilidades del software tradicional.
Por otro lado, las mismas capacidades pueden reducir significativamente la barrera para los atacantes, permitiéndoles encontrar y vincular puntos débiles mucho más rápido que los equipos humanos. Esto acelerará los ciberataques sofisticados si la tecnología va más allá de un entorno controlado.
Aún no hay evidencia pública de que Mythos Preview haya llegado a bandas criminales u oponentes de estados nacionales. Pero la historia de la tecnología de ciberseguridad sugiere que actores con buenos recursos, ya sean patrocinados por el Estado o criminales, podrían desarrollar sistemas similares u obtener acceso indirecto en el futuro cercano.
El futuro de la ciberseguridad
En el corto plazo, es probable que los gobiernos revisen sus protocolos de ciberseguridad y sistemas de respuesta a incidentes para incluir el escaneo obligatorio de vulnerabilidades de IA. Esto requerirá que las organizaciones escaneen constantemente sus sistemas utilizando IA, en lugar de depender de controles humanos aleatorios.
Si bien esto puede mejorar significativamente la seguridad al encontrar fallas más rápidamente, probablemente aumentará significativamente los costos y conllevará el riesgo de ralentizaciones del sistema, falsos positivos o breves interrupciones después de que se apliquen los parches.
Es casi seguro que las ciberaseguradoras comenzarán a exigir pruebas de dicha protección como condición de cobertura, lo que dará lugar a primas más altas, mientras que los operadores de infraestructuras críticas acelerarán el despliegue de sistemas automatizados de seguimiento y respuesta. Este cambio afectará no sólo a los bancos e instituciones financieras, sino también a los operadores de infraestructura crítica en los sectores de energía, atención médica, telecomunicaciones y transporte.
Por supuesto, Mythos no es el capítulo final. Los modelos futuros desarrollados por Anthropic y otras empresas líderes en IA funcionarán como agentes de IA altamente autónomos capaces de planificar, adaptar y ejecutar de forma independiente secuencias de tareas largas y complejas. Más allá de detectar vulnerabilidades, esto puede significar coordinar operaciones a gran escala o gestionar flujos de trabajo complejos del mundo real, todo con una mínima intervención humana.
Momentos como estos requieren urgencia y acción mesurada. Será esencial una gestión cuidadosa, la cooperación internacional y la inversión sostenible en aplicaciones de defensa. El genio ha salido de la botella; el desafío ahora es garantizar que sirva a la seguridad y no al caos.
