La firma de consultoría KPMG ha alertado sobre un cambio de paradigma sin precedentes en el ámbito de la ciberseguridad a raíz de la irrupción de Claude Mythos, un modelo de inteligencia artificial que combina razonamiento lógico, análisis de código, autonomía agéntica y la capacidad de construir cadenas de explotación funcionales sin intervención humana directa.
Durante un encuentro organizado por la Asociación de Periodistas de Información Económica (APIE) en Madrid, los socios responsables de Ciberseguridad y Riesgo Tecnológico de KPMG en España, Marc Martínez y Javier Aznar, expusieron los detalles sobre cómo este modelo, inicialmente concebido como una herramienta generalista, marca un antes y un después en la seguridad empresarial tras el hito de abril de 2026, cuando ayudó a descubrir más de 10.000 vulnerabilidades severas.
El enfoque tradicional de seguridad basado en firmas y reglas condicionales —el clásico esquema «si pasa X, haz Y»— ha quedado obsoleto frente a la denominada seguridad cognitiva y autónoma que representa Mythos en su totalidad. A este nuevo modelo ya se suma OpenAI con su iniciativa ‘Daybreak’, que despliega en Europa su modelo GPT-5.5-Cyber.
Gracias a su capacidad de analizar grandes bases de código de forma autónoma, formular hipótesis sobre fallos de seguridad, identificar vulnerabilidades complejas y construir cadenas de explotación funcionales, Mythos se ha convertido en una herramienta de ciberseguridad inaudita. No solo busca anomalías o entiende el contexto del servicio que pone a prueba, sino que razona como un atacante y actúa como un detective experto que analiza el comportamiento y el entorno de cualquier código, programa o servicio en línea.
Este escenario ha puesto en alerta tanto a las compañías y empresas como a la propia Anthropic, creadora del modelo. La firma decidió restringir el acceso bajo la iniciativa denominada Project Glasswing, a la que solo pueden acceder un número limitado de compañías —por ahora, únicamente estadounidenses— con el objetivo de evitar una aceleración descontrolada en las capacidades de explotación avanzada de vulnerabilidades.
El acceso a Project Glasswing no es público. Anthropic lo ha distribuido entre socios estratégicos como AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks.
Según lo anunciado, a finales de junio o principios de julio de este año, Anthropic tiene previsto publicar un informe completo con los hallazgos del programa, que incluye aproximadamente a 40 organizaciones con acceso controlado que mantienen software o infraestructuras críticas, librerías criptográficas o servidores clave.
El propósito es evaluar el peligro real de Mythos y decidir cómo liberarlo al público general antes de que caiga en manos equivocadas. Ya no se trata de una IA que asiste al usuario o a la empresa, sino de una IA autónoma que toma decisiones.
KPMG ha detallado los nuevos retos que plantea Claude Mythos en ciberseguridad:
- Pasa de ser una IA asistida a una IA autónoma.
- Minimiza los tiempos de respuesta: la ventana entre divulgación, parche y explotación se reduce de semanas o meses a días u horas.
- Potencia la escalabilidad de los ataques: permite automatizar y lanzar miles de ataques de forma simultánea e industrial.
Su irrupción conlleva nuevos riesgos para las organizaciones:
- Incremento sostenido de las vulnerabilidades críticas.
- Obsolescencia de los modelos clásicos de priorización.
- Expansión del rango de posibles objetivos atacables, incluyendo a empresas medianas que antes no eran atractivas para ataques avanzados.
- Aumento exponencial del fraude y la ingeniería social avanzada.
- Pérdida de eficacia de los controles reactivos y manuales.
La presión recae ahora sobre las organizaciones, que enfrentan un panorama único en ciberseguridad, no solo por la cantidad de nuevas vulnerabilidades que se esperan en las próximas semanas y meses, sino por la inseguridad que supone no contar con mecanismos suficientemente ágiles.
KPMG señala que la organización que no tome acciones, esta misma decisión será un riesgo en sí misma. Este nuevo paradigma castiga la lentitud, la falta de automatización y la inoperatividad acumulada. Una de las respuestas clave es apostar por una mayor segmentación en la organización, políticas de mínimos privilegios y detección temprana.
La frase «defenderse del ataque de la IA con la propia IA» se ha convertido en el lema de la ciberseguridad actual, como el escenario en el que hay que edificar los parapetos suficientes para reducir al máximo los efectos que pueda tener la aparición de vulnerabilidades en la organización.
Entre las medidas recomendadas por KPMG destacan:
- Aceleración de la capacidad de evaluación y parcheo.
- Reforzamiento de las capas de defensa en profundidad.
- Análisis enfocado en cadenas de ataque y no en vulnerabilidades aisladas.
- Tratamiento de la IA como un nuevo vector de riesgo operativo.
El sector bancario es uno de los más expuestos frente a esta disyuntiva. Al ser un entorno puramente digital, combina alta digitalización, interconexión extrema (conectada a APIs de miles de tiendas online, pasarelas de pago y apps móviles) y presión regulatoria. KPMG recomienda reforzar la coherencia end to end entre gestión de vulnerabilidades, Inteligencia de Amenazas y procesos de cambio en IT, y asegura que los mecanismos actuales pueden absorber un contexto de amenaza más dinámico y automatizado.
Lo mismo ocurre con el sector energético, donde al combinar infraestructuras críticas, entornos OT, elevada interdependencia operativa y ciclos de vida tecnológicos muy largos, la IA reduce drásticamente el esfuerzo necesario para acelerar posibles escenarios de explotación e identificar debilidades.
El nuevo estándar se compone de tres ejes:
- Acciones preventivas para reducir la exposición antes de que ocurran incidentes.
- Conciencia continua de riesgos emergentes y acelerados por IA.
- Fuerte integración entre ciberseguridad, tecnología, legal y riesgos operacionales.
La implementación de la IA es el eje central de las medidas a tomar, no solo por el uso de agentes basados en grandes modelos de lenguaje (LLM) para revisar código o descubrir vulnerabilidades, sino por ponerla al servicio de las compañías y sus equipos para mejorar la eficiencia de los equipos de seguridad y potenciar sus desempeños.
Fuente: Infobae