Anthropic, la empresa desarrolladora de la familia de modelos de inteligencia artificial generativa Claude, anunció el martes por la noche el lanzamiento de Fable 5, una versión comercial de su controvertido modelo Mythos Preview, según informó la compañía en su blog oficial. La decisión pone fin a dos meses de autocontención tras la presentación inicial de Mythos, considerado lo suficientemente potente como para amenazar la ciberseguridad mundial.

"Sus capacidades exceden las de cualquier otro modelo que hayamos abierto al público. Es especialmente bueno en el diseño de software, investigación científica y otros trabajos complejos", describió Anthropic en su comunicado. Sin embargo, la empresa reconoció que el potencial del modelo en ciberseguridad se podría utilizar para "causar mucho daño", según sus propias palabras.

Para mitigar los riesgos, los desarrolladores han implementado restricciones en Fable 5. Cuando se le formulen preguntas sobre determinados temas sensibles, el sistema devolverá respuestas procedentes de Claude Opus 4.8, su siguiente modelo más capaz pero menos potente, según explicó la compañía.

Paralelamente, las 150 empresas, instituciones y gobiernos que forman parte del proyecto Glasswing —nombre del grupo con acceso privilegiado a Mythos— recibirán acceso a Mythos 5, una actualización del modelo original. "Es, en esencia, el mismo modelo que Fable 5, pero con menos restricciones", señalaron los desarrolladores de Anthropic.

Capacidades que alarmaron al sector financiero

Cuando Anthropic presentó la primera versión de Mythos hace dos meses, el anuncio provocó conmoción en el sector financiero global. El modelo demostró ser capaz de encontrar en cuestión de minutos fallos en el código fuente de varios programas —las llamadas vulnerabilidades de día cero— cuando eso normalmente exige meses o años de trabajo de equipos de expertos informáticos, según la información proporcionada por la empresa.

El sector bancario fue el primero en expresar preocupación: si esa herramienta cayera en manos de ciberdelincuentes, las pasarelas de pago o las cuentas corrientes de sus clientes podrían estar en peligro, según el análisis de expertos del sector.

Anthropic decidió inicialmente no comercializar el modelo, sino compartirlo con un grupo reducido de empresas y países, entre los que se cuenta España, con la idea de compartir su tecnología para mejorar la ciberdefensa global, según informó la compañía.

Evaluación de expertos con acceso al modelo

Derek Manky, director estratégico de seguridad y vicepresidente global de inteligencia de amenazas de la multinacional estadounidense de ciberseguridad Fortinet, una de las empresas con acceso a Mythos, ofreció su valoración sobre el modelo. "No es la fórmula mágica que cambiará a la industria de la ciberseguridad, es solo una pieza más. Pero es cierto que, si cae en malas manos, se podrían duplicar el número de ciberataques anuales", dijo Manky.

El ejecutivo de Fortinet, que ha manejado directamente el modelo, añadió: "Todavía es demasiado pronto para saber cuál será su impacto real en la ciberseguridad. Si se usan adecuadamente en el desarrollo de la arquitectura de seguridad, estos modelos van a dar una gran ventaja al equipo azul [así se denomina en la jerga a los proveedores de ciberseguridad] porque, en el juego del descubrimiento de vulnerabilidades, se trata de adelantarse al equipo rojo [los ciberdelincuentes], y Mythos aporta mucha velocidad".

José de la Cruz, director técnico en España de TrendAI, otra empresa con acceso al modelo de Anthropic, ofreció una perspectiva más moderada. "Creo que Mythos es una evolución más que una revolución para la ciberseguridad", apuntó De la Cruz. Aunque por motivos de confidencialidad no puede revelar detalles específicos de su funcionamiento ni contra qué programas lo han probado, destacó que la clave es la rapidez.

"Es una herramienta más dentro de nuestro arsenal. Es capaz de descubrir vulnerabilidades en software y de buscar la forma de explotarlas sin necesidad de disponer del código fuente, y en un tiempo muy inferior al que requería un analista", explicó el directivo de TrendAI.

Escenario de uso por ciberdelincuentes

Los expertos consultados coinciden en que el mayor riesgo radica en que el modelo caiga en manos de actores maliciosos. Manky advirtió sobre las consecuencias: "Entonces el equipo rojo se moverá mucho más rápido: veremos una explosión de explotación de vulnerabilidades. En 2025 tuvimos un récord de 40.000, pero con un modelo como Mythos se podrían duplicar en solo un año".

El directivo de Fortinet añadió que, como los atacantes son oportunistas, lo más probable sería ver un incremento sobre todo en vulnerabilidades descubiertas en dispositivos conectados, según su análisis.

De la Cruz, por su parte, considera más probable que los ciberdelincuentes desarrollen o adapten un modelo de inteligencia artificial similar a Mythos a que accedan directamente a este, que "está bien custodiado", según sus palabras.

Estrategias de adaptación y defensa

Para el director técnico de TrendAI en España, la forma de adaptarse al uso de modelos potentes de inteligencia artificial por parte de los ciberdelincuentes será la formación continua y la priorización. "Microsoft publica todos los meses más de 100 vulnerabilidades relativas a su software, y entonces la gente va corriendo para parchearlas. De esas 100 a lo mejor un 5% son realmente atacables. Ahora, si ese número se dispara, nos vamos a tener que centrar en mitigar aquello que realmente importa, ya no llegaremos a parchearlo todo", dijo De la Cruz.

Manky enfatizó la importancia de la cooperación internacional. "Necesitamos construir grandes coaliciones para el equipo azul", apuntó el ejecutivo de Fortinet. "Queremos que nuestro conocimiento de vulnerabilidades y de inteligencia de amenazas llegue a las manos adecuadas lo más rápido posible".

El directivo lanzó una advertencia sobre el futuro inmediato: "Debemos ser realistas, en algún momento, probablemente en el próximo año, los atacantes empezarán a tener acceso a algunos de estos modelos. Por eso es crítico que ahora formemos estas alianzas que nos ayuden a reforzar nuestras defensas".

Implicaciones para la ciberseguridad global

El lanzamiento de Fable 5 marca un punto de inflexión en la carrera entre defensores y atacantes en el ámbito de la ciberseguridad. La decisión de Anthropic de comercializar una versión restringida del modelo, manteniendo simultáneamente el acceso privilegiado de gobiernos y empresas seleccionadas a la versión completa, representa un intento de equilibrar la innovación tecnológica con la seguridad global.

El proyecto Glasswing, que incluye a España entre los países con acceso a Mythos Preview, constituye un experimento sin precedentes de colaboración público-privada en materia de ciberseguridad. La inclusión de 150 actores —empresas, instituciones y gobiernos— busca crear una red de defensa coordinada capaz de anticiparse a las amenazas antes de que los ciberdelincuentes puedan explotar las vulnerabilidades descubiertas por el modelo.

La capacidad de Mythos para identificar vulnerabilidades de día cero —aquellas desconocidas para los fabricantes de software y por tanto sin parches de seguridad disponibles— representa tanto una oportunidad como una amenaza. Estas vulnerabilidades son las más valiosas en el mercado negro de la ciberseguridad, donde pueden venderse por cientos de miles o incluso millones de dólares, según datos del sector.

El récord de 40.000 vulnerabilidades registradas en 2025, mencionado por Manky, ya representaba un desafío significativo para la industria de la ciberseguridad. La posibilidad de que esta cifra se duplique en un solo año plantea interrogantes sobre la capacidad de las organizaciones para mantener sus sistemas seguros en un entorno donde las amenazas se multiplican exponencialmente.

La estrategia de priorización mencionada por De la Cruz refleja una realidad cada vez más común en la ciberseguridad: la imposibilidad de proteger todos los sistemas contra todas las amenazas. Las organizaciones deberán desarrollar capacidades más sofisticadas de evaluación de riesgos para identificar qué vulnerabilidades representan amenazas reales y cuáles pueden ser gestionadas con menor urgencia.

El plazo de un año mencionado por Manky para que los atacantes comiencen a tener acceso a modelos similares sugiere que la ventaja temporal de los defensores es limitada. Esta ventana de tiempo será crucial para que las organizaciones fortalezcan sus defensas, actualicen sus protocolos de seguridad y establezcan las coaliciones internacionales necesarias para enfrentar la nueva generación de amenazas cibernéticas potenciadas por inteligencia artificial.