El último modelo de inteligencia artificial es tan poderoso que ni su creador se atreve a abrirlo al público. En manos equivocadas, su uso podría desatar oleadas de ciberataques contra Estados, bancos e instituciones. En las correctas, brindar la seguridad global. Un enorme poder que conlleva una mayor responsabilidad. El gran dilema de la IA ya está aquí. Mythos en el número 24 de Asesores Financieros EFPA.
No es un cuento, no es un mito… al menos para el Banco de España, que le ha dedicado seis páginas en su último informe de estabilidad financiera. Tampoco para el Banco Central Europeo, cuya presidenta ha reconocido sin tapujos su inquietud. Ni para el poderoso Scott Bessent, secretario del Tesoro de EE. UU., y Jerome Powell, expresidente de la Fed, que reunieron de urgencia a los bancos para analizar la situación… Bienvenidos al riesgo distópico del momento.
Se llama Mythos, se apellida Anthropic y ha nacido de la unión entre el desarrollo humano y el dios de la inteligencia artificial. Posee un alma dual. Puede servir para hacer el bien… pero también para causar el caos. Y por eso su aparición ha desatado tanta incertidumbre en el sistema financiero global que muchas entidades no quieren ni hablar de ello.
En el peor de los casos, abriría la puerta a una oleada de ataques informáticos a gran escala sobre bancos, administraciones, Estados y todo tipo de sectores, con consecuencias imprevisibles. En el mejor, todo lo contrario: aumentaría la robustez de todas las infraestructuras informáticas y páginas web.
Mythos: Mad Max o ¡Qué bello es vivir!
El resultado dependerá de si esta poderosa arma cae en manos de los malos antes de que los buenos hayan tenido tiempo de fortalecer sus defensas. Y en eso están ahora, en teoría, sus creadores y las instituciones… Pero demos un paso atrás. ¿Qué es Claude Mythos y por qué tanta paranoia? Se trata de un modelo de inteligencia artificial desarrollado por la empresa estadounidense Anthropic, cuya plataforma Claude se ha convertido en el gran competidor de ChatGPT, de OpenAI, y Gemini, de Google. “Los modelos de IA se han vuelto cada vez más eficaces a la hora de leer y razonar sobre código; en particular, muestran una capacidad sorprendente para detectar vulnerabilidades y encontrar formas de explotarlas”, explican desde la propia Anthropic.
Pero Mythos “demuestra un salto importante en estas capacidades de ciberseguridad”. Sus tareas avanzadas de razonamiento y programación han evolucionado tanto respecto a los modelos previos que se le confieren superpoderes tan impresionantes como peligrosos.
En su fase de pruebas ha identificado brechas de seguridad que habían sobrevivido durante décadas a revisiones humanas y a millones de pruebas automatizadas. Por ejemplo, “encontró una vulnerabilidad de 27 años de antigüedad en OpenBSD, un sistema operativo con fama de ser uno de los más blindados del mundo en materia de seguridad”, o “una vulnerabilidad de 16 años de antigüedad en FFmpeg, un software libre que está detrás de prácticamente todo el vídeo y el audio que consumimos por internet”, según explicó Anthropic.
¿Mythos o Houdini?
No solo eso: Mythos también logró convertirse en un escapista cual Harry Houdini. Durante la fase de pruebas, unos desarrolladores pidieron al modelo que intentara escapar de una especie de cárcel informática que le habían creado y les enviara un correo electrónico. En una pausa, mientras estaba comiendo un sándwich en el parque, recibió el mensaje. El genio había salido de la lámpara y campaba a sus anchas por el ordenador, como los dinosaurios de Jurassic Park escapando del control de los científicos. Ante estos peligrosos superpoderes de la neobestia, Anthropic decidió que no podía dejarla libre, sino sacarla con correa.
No lo van a lanzar para todos los públicos, sino solo para un selecto club de empresas e instituciones. Este programa, bautizado Glasswing, reúne a las grandes tecnológicas mundiales, como Google, Apple, Amazon, Microsoft o Nvidia, entre otras, y a una sola empresa del sector financiero, JPMorgan Chase, aunque después se ha compartido el acceso con otras instituciones. “Los socios de Glasswing utilizarán Mythos Preview como parte de su trabajo de ciberseguridad defensiva”, explican desde Anthropic, que promete compartir después “lo que aprendamos para que toda la industria pueda beneficiarse”.
Jamie Dimon, presidente de JPMorgan Chase, explicó por qué se habían unido: “Descubre vulnerabilidades adicionales que se tienen que solucionar”. Y advirtió de que las brechas que antes se podían tapar en días cada vez más habrá que cerrarlas “en cuestión de minutos”.
El Banco de España avisa
En el Banco de España ya están pensando en los peligros: “Estas vulnerabilidades podrían explotarse para obtener control no autorizado de sistemas, acceder a información sensible o comprometer la integridad y disponibilidad de servicios críticos”, advierte en su último informe de estabilidad financiera. Unas brechas de seguridad que “podrían permitir potencialmente falsificar certificados o descifrar comunicaciones privadas”. Poca broma.
“Este desarrollo tecnológico alcanzaría un potencial impacto sistémico negativo”, avisan, “que podría generar olas más sincronizadas y extensas de ciberataques que afecten a tecnologías compartidas por gran parte del sector financiero, así como por otros sectores económicos”, remarcan en el boletín.
¿Cómo se toman estos avisos desde los bancos españoles? De momento, analizan la situación, pero sin alarma: “La aparición de modelos avanzados de inteligencia artificial confirma un escenario ante el que el sector lleva tiempo preparándose”, explican fuentes de la Asociación Española de Banca (AEB).
Mythos y la banca: estamos en ello
Añaden que “existe un consenso claro” sobre que “el impacto de este tipo de modelos se gestiona desde marcos ya consolidados de ciberseguridad, gestión de vulnerabilidades y resiliencia operativa, no desde la improvisación”.
El sector ya viene mejorando su perfil de seguridad, en parte para cumplir leyes recientes como DORA, la norma europea que ha obligado a bancos, aseguradoras y empresas financieras a reforzar la seguridad y robustez de sus sistemas para resistir ciberataques o fallos tecnológicos.
¿Pero y si todo lo que ya se ha realizado se queda corto ante las nuevas capacidades de la IA? ¿Habrá suficiente tiempo para reaccionar antes de que caiga en manos malintencionadas?
“La propia Anthropic ha reconocido que sus métodos actuales de control y monitorización podrían ser insuficientes para evitar acciones catastróficas mal alineadas en sistemas futuros más avanzados”, explica Michael Cembalest, presidente de Estrategia de Mercados e Inversión de J. P. Morgan Asset Management.
¿El gato o el ratón?
“Las herramientas de IA en las manos equivocadas pueden utilizarse para explotar vulnerabilidades; pero el uso de la IA con fines de ciberseguridad está ayudando a las compañías a mejorar la detección de vulnerabilidades”, explica Jeremy Gleeson, gestor del Allianz Global Hi-Tech Growth.
“Un optimista diría que la buena noticia es que existe un número finito de vulnerabilidades importantes que ahora terminarán por arreglarse, y después de eso el ecosistema online estará en mejor forma”, dice Cembalest, de J.P. Morgan AM. “Y es estupendo que haya sido un laboratorio centrado en la seguridad de la IA, como Anthropic, el primero en construir un modelo tan potente”, añade.
“La ciberseguridad siempre ha sido un juego del gato y el ratón”, recuerda Carsten Menke, responsable de análisis Next Generation en Julius Baer, para quien “la inteligencia artificial es al mismo tiempo una bendición y una maldición para la ciberseguridad. Los proveedores que adopten estas tecnologías tienen muchas más probabilidades de liderar el futuro”, pronostica.
Cibersubidas
El mercado apunta en esa dirección, con un impresionante “rally” alcista en las compañías más relacionadas con la ciberseguridad desde los mínimos del año. Por ejemplo, el fondo Allianz Cyber Security recuperó un 40% desde mediados de abril; cifras similares a las de ETF como el WisdomTree Cybersecurity UCITS o el Invesco Cybersecurity UCITS.
“La necesidad de soluciones más sofisticadas en un entorno de amenazas cada vez más complejo debería impulsar los beneficios de los líderes del sector de la ciberseguridad. Por ello, reiteramos nuestra visión constructiva sobre la temática”, explica Menke.
Jeremy Gleeson también ve potencial y, por eso, explica que “dentro del fondo Global Hi-Tech Growth tenemos exposición a compañías involucradas en distintos ámbitos de la ciberseguridad”.
Aunque también hay quien introduce un matiz con el caso concreto de Claude Mythos, que “podría ser tan potente que aceleraría los ciberataques más rápidamente de lo que las actuales defensas puedan adaptarse”, escribía el analista especializado de Bankinter Carlos Pellicer en un análisis reciente.
Tic, tac; tic, tac
…Hará falta que lleguen pronto esos avances. “2025 ya marcó un récord en vulnerabilidades de sistemas publicadas, según la base de datos Common Vulnerabilities and Exposures, mantenida por el Departamento de Seguridad Nacional de Estados Unidos”, explica Michael Cembalest. Una tendencia que se disparará si estos nuevos sistemas de IA más avanzados caen en manos equivocadas. Y, antes o después, pasará.
Cuando un ordenador cuántico sea lo bastante potente, podrá romper en minutos los candados digitales que hoy protegen prácticamente todo. Y lo más inquietante es que el ataque ya puede haber empezado: lo llaman “cosecha ahora, descifra después”. La carrera contrarreloj ya ha empezado. Y no es un mito.