Lo que Mythos encontró realmente

Los casos

Una nota sobre CVE-2026-4747: VulnCheck señaló que el único CVE que la propia Anthropic había destacado faltaba, al menos al principio, en el registro de divulgación de Anthropic, una incoherencia pequeña pero reveladora en un proyecto cuya credibilidad descansa en que ese registro dé fe de lo ocurrido.

Dónde el modelo supera al fuzzing, y dónde no

El resultado de FFmpeg es el más instructivo. El fuzzing guiado por cobertura es excelente para detectar cuelgues superficiales, pero se le resisten los errores que exigen cumplir varias precondiciones semánticas encadenadas o entender para qué sirve el código. Un error de 16 años que ha sobrevivido a cinco millones de iteraciones es, casi por definición, uno de esos.

Tipos de error en los que el descubrimiento basado en modelos parece superar al fuzzing, según el material público de Glasswing y de Black Hat:

• Errores lógicos en la validación (como el de wolfSSL): el código se ejecuta sin problemas y devuelve la respuesta equivocada. Los fuzzers no tienen ningún oráculo que les diga «este certificado debería haberse rechazado».
• Corrupción de memoria dependiente del estado (como el del NFS de FreeBSD): llegar a la ruta vulnerable exige mantener una conversación de protocolo, algo que la mutación aleatoria rara vez produce.
• Errores longevos en código sometido a fuzzing intensivo: por el sesgo de supervivencia, lo que queda tras años de fuzzing es justo lo que el fuzzing no alcanza.
• Razonamiento entre funciones: errores en los que una precondición se establece en una función y se incumple en otra, algo que las métricas de cobertura no recogen.

Donde el fuzzing sigue ganando: en rendimiento por dólar con los errores superficiales de análisis de entradas, y en reproducibilidad. La ponencia principal de Shoshitaishvili en Black Hat (véase Black Hat 2026: lo que defendieron las ponencias principales) planteó que la habilidad humana se ha desplazado hacia construir estrategias de búsqueda, flujos de validación y comprobaciones de explotabilidad alrededor del modelo, en lugar de buscar errores a mano.

La brecha de explotación, o cómo sostener dos hechos a la vez

Lo que publicó The Register en julio es un contrapeso necesario: a finales de ese mes, solo 126 hallazgos de Glasswing tenían un CVE publicado y apenas uno se había confirmado como explotado activamente. El resumen sin rodeos de VulnCheck: «El descubrimiento de vulnerabilidades asistido por IA y las capacidades de los modelos de frontera se han sobrevalorado en relación con las pruebas disponibles hoy… el impacto ha sido real, pero modesto».

Los datos de Microsoft apuntan en sentido contrario. Un sistema interno convirtió 182 de 200 vulnerabilidades del kernel de Linux en pruebas de concepto que provocaban un cuelgue, muchas de ellas exploits funcionales con privilegios de root, con un coste medio de 3,61 $ y 21 minutos por vulnerabilidad (véase Black Hat 2026: lo que defendieron las ponencias principales). Los dos hechos son ciertos a la vez:

• La explotación de hallazgos de Glasswing por parte de atacantes es, de momento, poco frecuente.
• El coste de la explotación se ha desplomado.

La distancia entre ambos es la ventana de la que disponen hoy los defensores. Nada garantiza que siga abierta.

El benchmark de redescubrimiento de la UCL

Investigadores de la University College London han propuesto un benchmark que evalúa si otros modelos son capaces de redescubrir por su cuenta los hallazgos de Glasswing a partir del código sin parchear. Importa por dos motivos:

1. El riesgo del embargo pasa a ser una estimación de ingeniería. Si un modelo de segunda fila redescubre un hallazgo en N ejecuciones, el embargo sobre ese hallazgo vale, para un atacante, aproximadamente N ejecuciones de cómputo. Es la versión cuantitativa de la preocupación de VulnCheck de que «los hallazgos, al envejecer, se convierten en pasivos» (véase Veintiséis mil hallazgos, doscientos parches).
2. Una medición más limpia de las capacidades. La tasa de redescubrimiento frente a una referencia conocida es mejor indicador que el recuento bruto de hallazgos, inflado por duplicados y retiradas —recuerda el caso de curl, 5→1—.

Al cierre de este artículo no se habían publicado resultados preliminares; conviene seguir arXiv buscando por el nombre de los autores.

Evaluaciones institucionales

• UK AI Security Institute: Mythos Preview fue el primer modelo en completar los dos cyber ranges del AISI, escenarios de intrusión en varias fases y con varias máquinas que exigen reconocimiento, explotación, movimiento lateral y consecución del objetivo, no el descubrimiento de un único fallo. Es la capacidad que conecta Mythos con el incidente de Hugging Face: un modelo capaz de completar un cyber range hace, en un entorno autorizado, lo mismo que hicieron los agentes del caso Hugging Face en uno no autorizado.
• Mozilla: 271 vulnerabilidades de Firefox encontradas y corregidas durante el periodo de pruebas, el ejemplo más claro del modelo que Glasswing tenía en mente: un mantenedor con muchos recursos, capaz de absorber hallazgos en gran volumen. También es la referencia implícita con la que hay que leer el problema de los proyectos mantenidos por dos personas (véase Veintiséis mil hallazgos, doscientos parches): Mozilla muestra lo que es tener capacidad, y la mayoría de los mantenedores no son Mozilla.

Fuentes

• Anthropic, system card de Claude Mythos Preview + anuncio de Project Glasswing, abril de 2026; actualización de Glasswing, mayo de 2026 — anthropic.com
• UK AI Security Institute, evaluación previa al despliegue de Mythos Preview — aisi.gov.uk
• Avisos de seguridad de Mozilla, periodo de pruebas de Glasswing — mozilla.org/security
• VulnCheck, Observations on Anthropic’s Vulnerability Disclosure Ledger — https://www.vulncheck.com/blog/anthropic-ledger (omisión de CVE-2026-4747)
• The Register, AI-found bugs aren’t proving any easier to exploit despite the hype, 28 de julio de 2026 — https://www.theregister.com/security/2026/07/28/ai-found-bugs-arent-proving-any-easier-to-exploit-despite-the-hype/5279637
• Security Point Break, Black Hat 2026: Fighting an Adversarial Tsunami, 6 de agosto de 2026 — https://securitypointbreak.com/2026/08/06/black-hat-2026-fighting-an-adversarial-tsunami/ (cifras de Microsoft sobre generación de PoC)
• CSO Online, Microsoft wants you to rethink your approach to cyber defense, agosto de 2026 — csoonline.com
• Benchmark de redescubrimiento de la UCL — preprint pendiente; consultar arXiv

Nota editorial: OpenBSD (27 años, <1000 ejecuciones, <20 000 $), FFmpeg (16 años, >5 millones de iteraciones de fuzzing), wolfSSL CVE-2026-5194, «los dos ranges» del AISI, Mozilla 271: datos tomados del encargo original, sin verificación independiente. Hay que contrastarlos con la system card de Mythos y los avisos de los proveedores, y verificar los números de CVE en cve.org.