|
Getting your Trinity Audio player ready...
|
La inteligencia artificial ha entrado de lleno en el terreno de la ciberseguridad ofensiva y defensiva, y el último capítulo de esta carrera tecnológica tiene nombre propio: Mythos. Se trata de un sistema desarrollado por Anthropic —la compañía estadounidense fundada por antiguos investigadores de OpenAI y responsable del modelo Claude— diseñado específicamente para detectar vulnerabilidades en infraestructuras informáticas. Lo que ha hecho saltar las alarmas en círculos diplomáticos y tecnológicos internacionales es la decisión de la empresa de conceder acceso al Gobierno de España a esta herramienta, capaz tanto de blindar sistemas como de servir como arma cibernética de primer orden.
Qué es Mythos y por qué preocupa
Mythos no es un chatbot ni una IA generalista al estilo de Claude o GPT. Se trata de un sistema vertical, entrenado con enormes volúmenes de código, documentación de exploits, registros de incidentes de seguridad e información sobre arquitecturas de red. Su función principal es identificar fallos en sistemas informáticos: desde errores de configuración en servidores hasta vulnerabilidades de día cero en software ampliamente desplegado. La diferencia respecto a herramientas tradicionales de pentesting —como Metasploit, Burp Suite o Nessus— es que Mythos no se limita a ejecutar pruebas predefinidas, sino que razona sobre el código y la infraestructura que analiza, proponiendo rutas de ataque originales y encadenando vulnerabilidades menores hasta convertirlas en brechas críticas.
Esa capacidad es precisamente lo que la convierte en un arma de doble filo. Un mismo sistema que un equipo defensivo (blue team) puede utilizar para parchear su infraestructura antes de que sea explotada, un actor ofensivo (red team, o un Estado hostil) puede emplearlo para llevar a cabo intrusiones con un nivel de sofisticación reservado hasta ahora a agencias como la NSA, el GRU ruso o las unidades del Ejército Popular de Liberación chino.
El acuerdo con el Gobierno de España
Según ha trascendido, el acuerdo entre Anthropic y el Ejecutivo español permitiría a organismos como el Centro Criptológico Nacional (CCN-CERT), el Instituto Nacional de Ciberseguridad (INCIBE) y el Mando Conjunto del Ciberespacio (MCCE) integrar Mythos en sus operaciones. La intención declarada es reforzar la protección de infraestructuras críticas españolas —energía, banca, sanidad, telecomunicaciones— frente al incremento sostenido de ataques que, según los últimos informes del CCN, han crecido más de un 25 % anual desde 2022.
España se convertiría así en el primer país europeo —y uno de los pocos del mundo, junto a Estados Unidos y, presumiblemente, el Reino Unido— en disponer de acceso oficial a una herramienta de esta naturaleza desarrollada por una de las grandes empresas del sector. La decisión llega en un contexto en el que Anthropic ya ha firmado contratos con el Departamento de Defensa estadounidense y con la comunidad de inteligencia de ese país, a través de plataformas como Palantir y Amazon Web Services.
Reacciones internacionales: la alarma se enciende
La noticia ha generado una mezcla de incomodidad y recelo en varias capitales europeas. Bruselas ha solicitado explicaciones formales sobre el encaje del acuerdo con el Reglamento de IA de la Unión Europea (AI Act), que entró en vigor el pasado año y que clasifica como “de alto riesgo” los sistemas de IA con aplicaciones en seguridad nacional. Aunque el Reglamento contempla excepciones para usos militares y de inteligencia, los expertos consultados —entre ellos investigadores del Center for AI Safety y del Future of Life Institute— advierten de que herramientas como Mythos operan en una zona gris.
Desde Alemania y Francia, voces críticas han recordado que la cesión de capacidades cibernéticas ofensivas a un único Estado miembro puede romper el equilibrio de la política europea de ciberdefensa, articulada en torno a ENISA y la futura Cyber Solidarity Act. Por su parte, Rusia y China han calificado el movimiento de «escalada peligrosa», mientras que organizaciones civiles como la Electronic Frontier Foundation han pedido a Anthropic mayor transparencia sobre los controles que aplicará para evitar que el sistema sea desviado a usos ofensivos no autorizados.
La paradoja de Anthropic
El acuerdo plantea, además, una incómoda contradicción para la propia Anthropic. La compañía, fundada en 2021 por Dario y Daniela Amodei, se presentó al mundo con un discurso enfocado en la seguridad de la IA y la prevención de riesgos catastróficos. Su famoso enfoque de «Constitutional AI» y sus investigaciones sobre alignment la habían convertido en la cara amable de la industria. Sin embargo, en los últimos dos años, la presión competitiva con OpenAI, Google DeepMind y xAI, junto con la necesidad de financiar entrenamientos cada vez más caros, han llevado a la empresa a aceptar contratos con gobiernos y a desarrollar productos como Mythos, donde el límite entre lo defensivo y lo ofensivo es difícilmente trazable.
Los propios investigadores de la compañía han publicado estudios reconociendo que los modelos de frontera pueden acelerar de manera significativa la capacidad de actores con recursos limitados para llevar a cabo ciberataques sofisticados. Mythos sería, en cierto modo, el reconocimiento implícito de que esa capacidad ya existe, y de que es preferible ofrecerla bajo control que dejar que prolifere de forma incontrolada.
Implicaciones para España
Para el Gobierno español, el acceso a Mythos supone un salto cualitativo en sus capacidades de ciberdefensa, pero también una responsabilidad mayúscula. La doctrina española en materia cibernética, recogida en la Estrategia Nacional de Ciberseguridad 2019 y en sus actualizaciones posteriores, contempla la posibilidad de respuestas activas frente a ataques, pero siempre dentro de los marcos del Derecho internacional. La utilización de una IA capaz de generar exploits originales obliga a actualizar protocolos, cadenas de mando y mecanismos de auditoría para evitar tanto los abusos internos como las represalias diplomáticas.
Habrá que vigilar también el impacto sobre el tejido empresarial. Compañías españolas del sector —desde S2 Grupo hasta Telefónica Tech o GMV— podrían beneficiarse de un ecosistema más maduro, pero también temer la concentración de capacidades en torno a un proveedor extranjero del que se vuelven dependientes.
Conclusión
Mythos ilustra como pocos ejemplos el dilema central de la inteligencia artificial contemporánea: la misma herramienta que protege puede destruir. La decisión de Anthropic de compartirla con el Gobierno de España marca un precedente que redefine las alianzas tecnológicas transatlánticas y abre un debate ineludible sobre quién, cómo y con qué garantías debe controlar este tipo de sistemas. En la era de la IA, la ciberseguridad ya no es un asunto puramente técnico, sino una pieza estratégica del tablero geopolítico global.
Generado por claude opus 4 7 thinking
