- Claude Mythos Preview ha detectat milers d'errors crítics en programari fonamental, superant àmpliament la capacitat de detecció humana i eines tradicionals.
- Project Glasswing és una coalició restringida de 50 gegants tecnològics i financers que utilitzen aquesta IA per a pegats vulnerabilitats abans que siguin explotades.
- El model roman sota accés controlat a causa del seu nivell de risc ASL-4, ja que té la capacitat de generar exploits funcionals de forma autònoma.
Imagina't que el programari que sosté internet, des dels navegadors que uses per llegir això fins als sistemes operatius dels servidors més potents, tingués esquerdes invisibles que ningú havia vist en dècades. Doncs bé, resulta que Anthropic ha donat la campanada amb una eina que no només troba aquestes esquerdes, sinó que sap exactament com entrar-hi, obligant tota la indústria a replantejar-se com protegim les nostres dades.
No parlem d'una simple actualització d'un xat intel·ligent, sinó d'un canvi de paradigma absolut. Amb el llançament de Project Glasswing , la companyia ha decidit jugar a la defensiva proactiva, reunint els pesos pesants del sector tecnològic i financer per netejar el codi global abans que algú amb males intencions decideixi fer servir la mateixa tecnologia per muntar un caos digital.
El cervell darrere l'operació: Claude Mythos Preview
El veritable motor de tot aquest tinglado és Claude Mythos Preview , un model d'IA que deixa en ridícul els seus predecessors quant a anàlisi de seguretat. A diferència dels models comercials, Mythos té una capacitat de raonament profund que li permet identificar milers de vulnerabilitats zero-day , és a dir, fallades que ni tan sols els desenvolupadors originals coneixien.
El que fa que aquest model sigui una autèntica bèstia és la seva habilitat per a l' encadenament de vulnerabilitats . Al món real, un hacker no sol utilitzar un sol forat, sinó que combina diverses fallades menors per aconseguir un accés total. Mythos pot deduir com unir aquestes peces i, el que és més impactant, és capaç d' escriure i executar codi de prova per demostrar que la fallada és real i explotable, eliminant així el soroll dels falsos positius que tant fastiguegen els analistes de ciberseguretat i les seves eines.
Xifres que posen els pèls de punta
Si creies que el programari madur era segur, les dades de Glasswing et trauran el son. En només trenta dies, els socis del programa van detectar més de 10.000 vulnerabilitats de gravetat alta o crítica. Només Cloudflare, que ja és un referent en seguretat, va trobar 2.000 bugs en els seus propis sistemes, dels quals 400 eren crítics , demostrant que ni tan sols els més preparats no estan exempts d'errors.
La situació amb el codi obert encara és més alarmant. Anthropic va analitzar uns 1.000 projectes essencials per a la xarxa i va trobar més de 23.000 possibles errors, amb 6.202 catalogats com a greus . Perquè et facis una idea, el model va desenterrar una fallada a OpenBSD que feia 27 anys que estava adormit , a més d'errors de 16 i 17 anys a FFmpeg i FreeBSD, respectivament. Programari que havia passat per mil auditories i que seguia tenint una porta oberta.
Per què no podem fer servir Mythos a casa?
Segurament et preguntis per què Anthropic no deixa anar aquest model al públic. La resposta és senzilla: és massa perillós. Mythos ha estat classificat internament com ASL-4 (AI Safety Level 4) , la qual cosa significa que té un potencial de dany catastròfic si cau en mans equivocades. Un model trobant un bug amb tanta precisió pot, en un obrir i tancar d'ulls, generar l'exploit perfecte per atacar una infraestructura de sectors crítics.
Per això, l'accés està restringit a un cercle tancat de 50 organitzacions seleccionades , entre les quals figuren gegants com ara Microsoft, Google, Apple, Amazon i JPMorganChase. La idea és que aquestes entitats utilitzin la IA per posar pegats al programari de forma massiva abans que els atacants desenvolupin les seves pròpies eines basades en models similars. És, bàsicament, una carrera armamentística on Anthropic vol que els bons portin la davantera.
Lliçons per al sector i el futur del desenvolupament
Aquest desplegament ens deixa clar que la seguretat ja no pot ser una cosa que s'hi afegeix al final del projecte. Cloudflare ha assenyalat que l‟ús d‟agents d‟IA requereix un entorn de proves molt específic; no n'hi ha prou de demanar al model que «busqui errors», sinó que cal segmentar les tasques i fer servir revisió adversària (un segon agent que qüestioni els resultats del primer) per evitar que la IA s'inventi coses.
A més, s'ha evidenciat un coll d'ampolla humà preocupant: la IA troba errors més ràpidament del que els programadors poden corregir-los. Mentre Mythos detecta milers d'errors, el procés de triatge, reporti i pegats segueix depenent de persones que estan desbordades. Això ha fet que algunes empreses intentin reduir les seves SLAs de resposta a tan sols dues hores des de la publicació d'un CVE , encara que això comporta el risc de llançar pegats sense les proves de regressió adequades.
Per combatre això, Anthropic ha llançat Claude Security en beta per a clients empresarials i el Cyber Verification Program, permetent que professionals legítims usin els seus models sense les restriccions habituals. També han destinat milions de dòlars a fundacions com la Linux Foundation i Apache per ajudar els mantenidors de codi obert a gestionar aquest tsunami de reports de seguretat.
La realitat és que el cost de descobrir vulnerabilitats ha caigut en picat i la finestra entre la troballa i l'explotació ara és més estreta que mai. L'èxit de Project Glasswing demostra que l'única manera de sobreviure en aquest nou ecosistema és mitjançant la transparència i la col·laboració intersectorial , acceptant que la IA és ara l'eina principal tant per a l'atac com per a la defensa de la infraestructura digital global.
