Entre Mythos y GPT-5.4-Cyber: los LLM se adentran en el ámbito de la ciberseguridad automatizada

Lo más importante sobre tu hack'tu de ciberseguridad

• Claude Mythos Preview, desarrollado por Anthropic, es una IA no disponible para el público que, al parecer, sería capaz de detectar y explotar vulnerabilidades críticas de software, incluidas las vulnerabilidades de «día cero». Al parecer, Mythos Preview sería capaz, en particular, de encadenar de forma autónoma la explotación de vulnerabilidades para lograr el objetivo de acceder a un recurso digital;
• Aunque este nuevo modelo aún no ha sido evaluado por terceros, las capacidades anunciadas para la detección de vulnerabilidades asistida por IA plantean tanto oportunidades como riesgos para la ciberseguridad mundial;
• Mythos Preview sigue la evolución de modelos de IA que ya han demostrado su capacidad para detectar vulnerabilidades en el software y supone un paso adelante para otros modelos que están por llegar. El auge de estos modelos de IA dedicados a la ciberseguridad obliga a los actores del sector a automatizar aún más sus procesos, sin dejar de mantener la supervisión humana para limitar los errores;
• La aparición de estos modelos implica, a corto plazo, prepararse para aplicar rápidamente numerosas actualizaciones de seguridad. A largo plazo, y en función del rendimiento, el coste y la accesibilidad de este tipo de IA, su incorporación a los procesos de desarrollo de software será fundamental.

¡Cuando los gigantes de la IA, Anthropic y OpenAI, pasan a la defensiva!

Con Claude Mythos Preview, la empresa Anthropic parece dar un gran paso adelante en la detección de vulnerabilidades potenciada por la IA. OpenAI sigue sus pasos con el anuncio, justo después de su lanzamiento, de GPT-5.4-Cyber. Vivien Mura, director de tecnología (CTO) de Orange Cyberdefense, analiza el impacto positivo de la inteligencia artificial en las prácticas de ciberseguridad y el potencial que ofrece a los atacantes.

Anthropic o la IA responsable

Anthropic es una empresa especializada exclusivamente en inteligencia artificial generativa (IA generativa o Gen AI), fundada en 2021 por antiguos investigadores de OpenAI, entre los que se encuentran Dario Amodei y su hermana, Daniela Amodei. Con sede en San Francisco, la empresa ha logrado hacerse un hueco destacado entre los actores emergentes del sector de la inteligencia artificial. Con su familia de modelos de lenguaje (LLM o Large Language Models) Claude, Anthropic destaca por la importancia que concede a la seguridad y la ética (lo que se conoce como «Constitutional AI») en el desarrollo de sus plataformas de LLM.

Claude Mythos: ¿una herramienta de detección de doble filo?

El descubrimiento de la existencia de Claude Mythos Preview marca un punto de inflexión decisivo en la convergencia entre la inteligencia artificial y la ciberseguridad. Con Claude Mythos Preview, Anthropic da un gran paso adelante, ya que este modelo de IA no público, cuyo uso está actualmente restringido a los miembros ⁽¹⁾ de la iniciativa «project Glasswing», sería capaz de detectar y explotar vulnerabilidades críticas en el software.

Las capacidades de razonamiento avanzadas de Claude Mythos, que no están vinculadas a una formación específica en ciberseguridad, le permiten comprender y, en determinadas condiciones, romper la lógica de los programas informáticos y los sistemas informáticos, explica Vivien Mura, director de tecnología de Orange Cyberdefense.

En concreto, Claude Mythos Preview sería capaz de descubrir y explotar de forma autónoma vulnerabilidades de «día cero» —que aún no han sido detectadas— en entornos digitales ampliamente implantados e identificados, como OpenBSD y Firefox.

El problema es que estas vulnerabilidades nunca habían sido detectadas anteriormente por expertos humanos. Y así durante años. Si bien la herramienta se ha desarrollado para reforzar la ciberseguridad de los entornos digitales, en consonancia con el posicionamiento de Anthropic, ¿qué ocurre con su uso en manos de ciberdelincuentes y otros hacktivistas?

A pesar de que, por el momento, no disponemos de la perspectiva necesaria para evaluar el rendimiento real del modelo, los detalles que figuran en la ficha técnica⁽²⁾ de Mythos tienen consecuencias múltiples y profundas, explica Vivien Mura

Claude Mythos: ¿qué repercusiones tiene esto para los ciberdelincuentes?

En lo que respecta a los atacantes, Claude Mythos pone de manifiesto el resurgimiento de las vulnerabilidades de «día cero»⁽³⁾. El modelo sería capaz de identificar múltiples vulnerabilidades críticas en tan solo unos días, lo que sugiere una reducción del coste de la búsqueda de vulnerabilidades de día cero, tanto para los investigadores en ciberseguridad como para los atacantes.

Por otra parte, Claude Mythos Preview se queda estancado en lo que respecta a la automatización de la cadena de ataque. De manera impresionante, el modelo es capaz de explotar de forma totalmente autónoma vulnerabilidades de software y de configuración. En algunos casos documentados, ha logrado escapar de entornos aislados o «sandbox»⁽⁴⁾ y establecer comunicaciones externas, demostrando un razonamiento táctico que hasta ahora se reservaba a los pentesters humanos. No obstante, hay que tener en cuenta el contexto de ejecución, ya que se trata de un sistema informático diseñado con fines de investigación y que carece de los mecanismos clásicos de detección y protección.

Otra observación importante: Claude Mythos Preview es un modelo genérico que no se ha entrenado a partir de datos específicos sobre ciberseguridad y que carece de una arquitectura concreta (del tipo RAG o agéntica). Por lo tanto, el modelo se convierte de facto en un «plan de referencia», un modelo, para otras arquitecturas de referencia futuras en el ámbito de la ciberofensiva. En otras palabras: un uso malintencionado de estas herramientas no requeriría medios mucho más avanzados que el acceso al último «modelo Frontier», es decir, el modelo LLM público más reciente. 

Una oportunidad fantástica para los actores del sector de la ciberseguridad

No obstante, Claude Mythos Preview representa una formidable oportunidad en el ámbito de la ciberseguridad, especialmente para la evolución de las profesiones relacionadas con la ciberdefensa.

Ante esta amenaza, el ecosistema digital en su conjunto da prioridad a la integridad de la cadena de suministro de software. De hecho, ese es el objetivo del CRA⁽⁵⁾. La IA podría constituir una herramienta fundamental para hacer frente al reto de la seguridad de la cadena de suministro y a los nuevos requisitos de cumplimiento normativo.

Aunque la ejecución de este tipo de modelos sigue requiriendo importantes recursos informáticos, el coste de los ciberataques se reducirá inevitablemente, lo que obligará a evolucionar a determinadas actividades y servicios de ciberseguridad, como las pruebas de penetración y los programas de «bug bounty» ⁽⁶⁾. Sin embargo, no es posible dejar que la máquina actúe con total autonomía. La intervención humana seguirá siendo necesaria para controlar los accesos y las ejecuciones con privilegios elevados y evitar errores de ejecución catastróficos, como la eliminación involuntaria de datos.

En cuanto a las promesas de automatización que Claude Mythos parece poner sobre la mesa, no se refieren únicamente a los atacantes. Mythos confirma que la ciberdefensa debe estar altamente automatizada, con control humano, para hacer frente a la avalancha de vulnerabilidades, actualizaciones e incidentes de seguridad. La corrección, la fase final de la defensa que requiere medidas de gran impacto en un sistema informático, también deberá automatizarse en mayor medida, integrando la supervisión humana en los puntos de control adecuados.

Claude Mythos Preview: ¿un modelo de LLM que tener en cuenta?

Como es sabido, desde el lanzamiento público de ChatGPT por parte de OpenAI en 2022, cada semana (o casi) se caracteriza por el lanzamiento de una nueva versión de un LLM destinada a sustituir a la anterior.

Claude Mythos Preview es un hito clave, pero no es un caso aislado. «Debemos prever que, en los próximos meses, aparecerán modelos de la competencia —posiblemente de código abierto— que igualen o superen las capacidades de Mythos», aclara Vivien Mura. 

Tras la revelación de la existencia de Claude Mythos Preview, la respuesta de OpenAI no se ha hecho esperar ⁽⁸⁾. Lanzado de forma limitada el 14 de abril y anunciado oficialmente por OpenAI el 15 de abril, GPT-5.4-Cyber se ha diseñado para abordar la ciberseguridad defensiva.  

¿Cuáles son los próximos pasos que cabe prever en materia de detección de vulnerabilidades asistida por IA?

Si bien el modelo de acceso restringido de estas herramientas tiene por objeto reforzar la postura defensiva, crea un panorama de seguridad de dos velocidades. Los socios que actualmente utilizan Claude Mythos en el «Proyecto Glasswing»⁽⁸⁾ lo emplean para reforzar la seguridad de sus propios ecosistemas, lo que muy probablemente dará lugar a una oleada masiva de publicación de parches de seguridad.

Las organizaciones deben prepararse para una avalancha de parches destinados a sus sistemas operativos, aplicaciones, productos de seguridad y componentes de software de código abierto profundamente integrados⁽⁹⁾. Para las empresas que ya cuentan con programas de gestión de parches, el esfuerzo será considerable, pero no insuperable; para las demás, es muy probable que la avalancha de parches mantenga ocupados a los equipos durante mucho tiempo.

A largo plazo, la relación rendimiento-coste de los modelos de IA para aplicaciones cibernéticas podría mejorar, lo que ofrecería la posibilidad de integrar estos modelos en los ciclos de desarrollo de software (DevSecOps, CI/CD) y en los procesos de auditoría automática de los sistemas informáticos.

El riesgo para el futuro es que se eludan las medidas de seguridad que impiden el uso malintencionado de potentes modelos para automatizar ataques complejos a gran escala, lo que generaría una escalada sin precedentes en el panorama de las amenazas. Los atacantes podrían llevar a cabo procesos de piratería informática sofisticados sin esfuerzo y sin necesidad de conocimientos avanzados. La era de la coexistencia entre la ciberseguridad automatizada y la experiencia humana no ha hecho más que empezar.

A través de una colaboración con Qevlar AI, Orange Cyberdefense se ha comprometido a reforzar la ciberseguridad mediante la IA. Además, nuestros expertos pueden asesorarte en la sensibilización y la implantación de plataformas de IA supervisadas, conformes y responsables.

Para mantener el control sobre el futuro de tu negocio en la era de la inteligencia artificial, echa un vistazo a  la segunda edición de nuestra revista trimestral «Ctrl» a continuación. 

Fuentes y notas