Lo que Mythos encontró realmente

«La IA encuentra fallos» es una abstracción, y las abstracciones no le cambian el comportamiento a nadie. Así que aquí van los fallos reales, lo que habrían supuesto si alguien con malas intenciones los hubiera encontrado primero y por qué algunos sobrevivieron tanto tiempo.

Una vulnerabilidad en OpenBSD que tenía 27 años. OpenBSD es el sistema operativo que la gente de seguridad pone como ejemplo cuando quiere decir «hecho como es debido»: un equipo pequeño y obsesivo que lleva décadas auditando su propio código. Mythos encontró un fallo anterior a la mayor parte de esas auditorías en menos de mil ejecuciones autónomas y por menos de 20 000 dólares de cómputo. A un investigador humano serio le habría llevado más tiempo solo leer el código en cuestión.

Un error en FFmpeg —la biblioteca que decodifica el vídeo de prácticamente todo— que tenía 16 años y había sobrevivido a más de cinco millones de ejecuciones automatizadas de fuzzing. El fuzzing lanza entradas aleatorias contra el código hasta que algo se rompe. Cinco millones de intentos no dieron con este error. El modelo sí, lo que indica que estaba razonando sobre el código en vez de lanzarle cosas sin más.

Un fallo en wolfSSL (CVE-2026-5194), una biblioteca criptográfica embebida que se usa en dispositivos demasiado pequeños para ejecutar OpenSSL, que permitía falsificar certificados: se podía engañar a un dispositivo para que creyera que hablaba con un banco legítimo cuando no era así. Y un error de corrupción de memoria de hace 17 años en el cliente NFS de FreeBSD (CVE-2026-4747): un servidor de archivos malicioso en el mismo segmento de red podía ejecutar código en cualquier cliente que se conectara a él, sin interceptación ni ataque de intermediario; bastaba con un servidor que mintiera en sus respuestas.

Más allá de los fallos concretos, dos datos institucionales. El AI Security Institute del Reino Unido informó de que Mythos Preview fue el primer modelo en superar los dos cyber ranges del instituto: ejercicios de intrusión realistas y en varias fases, no acertijos. Y Mozilla encontró y corrigió 271 vulnerabilidades de Firefox durante su periodo de pruebas.

Tres de estos fallos tenían más años que algunos de los ingenieros que mantienen ese código. Todos estaban en software sometido a fuzzing, auditado y distribuido en miles de millones de dispositivos. Esa es la versión concreta de una afirmación abstracta: el modelo es real. La pregunta difícil es qué hace el mundo con un modelo real.