Claude Mythos descubre 271 vulnerabilidades en Firefox; los defensores podrían obtener una ventaja decisiva

Mozilla anunció el martes que las primeras versiones del modelo de IA Claude Mythos de Anthropic, durante pruebas internas, identificaron 271 vulnerabilidades de seguridad en el navegador Firefox, y que todas las vulnerabilidades ya se han corregido esta semana. Mientras expresaba su sorpresa, Mozilla también dijo que los resultados sugieren que el campo de la seguridad en Internet podría estar experimentando un cambio fundamental, y que quienes defienden quizás estén a punto de reducir la ventaja que los atacantes han tenido durante mucho tiempo.

De 22 a 271: el gran salto en las capacidades de seguridad de Claude Mythos

Mozilla ya había probado otro modelo de Anthropic, que en una versión anterior de Firefox identificó 22 vulnerabilidades de seguridad de alto riesgo. El hallazgo de 271 vulnerabilidades en esta ocasión representa un salto considerable en magnitud.

Mozilla subrayó que todas las vulnerabilidades que detectó el sistema “incluso un investigador humano de primer nivel” también podría encontrarlas, y que actualmente las herramientas de IA todavía no han revelado nuevos tipos de vulnerabilidades que los humanos no puedan comprender. Su ventaja central está en acelerar drásticamente este proceso, permitiendo a los desarrolladores identificar rápidamente las vulnerabilidades antes de que los atacantes las aprovechen.

Claude Mythos se lanzó en marzo de 2026. Es el modelo más avanzado de Anthropic y, según documentos internos de la compañía, es un nuevo tipo de modelo que supera a la serie Opus anterior. En las pruebas realizadas antes del lanzamiento, se descubrieron miles de vulnerabilidades previamente desconocidas en sistemas operativos principales y navegadores web.

El plan Glasswing: por qué se controla estrictamente el acceso

Anthropic ofrece acceso limitado a Claude Mythos mediante el “plan Glasswing” (Project Glasswing). Las organizaciones autorizadas para usarlo actualmente se limitan a empresas tecnológicas específicas que han sido aprobadas mediante revisión, como Amazon, Apple y Microsoft, y el uso se restringe a la exploración de vulnerabilidades de software.

El trasfondo de este control estricto es el siguiente: el Instituto de Investigación de Seguridad de la IA del Reino Unido probó y descubrió que Claude Mythos puede ejecutar operaciones web complejas de forma autónoma, incluyendo simulaciones de ataques de red empresariales de múltiples etapas que pueden completarse sin intervención humana. Según informantes, aunque el gobierno de Trump había pedido detener el uso de la tecnología de Anthropic, la Agencia de Seguridad Nacional de Estados Unidos (NSA) ya había implementado y puesto en funcionamiento una versión preliminar de Claude Mythos en una red clasificada.

Espada de doble filo: las mismas capacidades también pueden acelerar ataques

Los resultados hallados por Mozilla tienen un significado profundo con implicaciones tanto positivas como negativas. Los investigadores de seguridad advierten que los sistemas de IA capaces de analizar el código a gran escala pueden identificar automáticamente vulnerabilidades explotables en software ampliamente utilizado, y si esos sistemas caen en manos de personas malintencionadas, supondrán una amenaza de ciberseguridad sin precedentes para las compañías de software y para los usuarios, posiblemente dando lugar a una nueva generación de formas de ataques automatizados a la red.

Preguntas frecuentes

¿Qué tipo de problemas son las 271 vulnerabilidades encontradas en Firefox por Claude Mythos?

Según las explicaciones de Mozilla, se trata de vulnerabilidades reales y sensibles a la seguridad, que “incluso un investigador humano de primer nivel” puede detectar. Mozilla afirma que actualmente las herramientas de IA aún no han revelado nuevos tipos de vulnerabilidades que los humanos no puedan entender, pero su capacidad reside en que la velocidad de su exploración sistemática a gran escala supera con creces la revisión humana, y todos los problemas ya se han solucionado esta semana.

¿Cuál es el objetivo del plan Glasswing y qué organizaciones pueden usar Claude Mythos?

El plan Glasswing es un programa de acceso controlado establecido por Anthropic. Actualmente solo permite un uso limitado de Claude Mythos por parte de empresas tecnológicas específicas aprobadas mediante revisión, como Amazon, Apple y Microsoft, y el uso se limita a la exploración de vulnerabilidades de seguridad del software. Esta restricción refleja la alta cautela de Anthropic ante el riesgo de uso indebido de ese modelo.

¿Qué significado profundo tiene este hallazgo para toda la industria de la ciberseguridad?

Mozilla afirma que la aparición de herramientas de IA podría dar a los defensores por primera vez la oportunidad de reducir la ventaja que los atacantes han tenido durante mucho tiempo, logrando una “victoria decisiva”. Sin embargo, los investigadores también advierten que las mismas capacidades pueden ser utilizadas por los atacantes, acelerando la escala y la eficiencia de los ataques automatizados a la red. Por ello, el control del acceso a las herramientas de seguridad de IA es crucial.