Durante décadas, los atacantes han tenido la ventaja en ciberseguridad. La inteligencia artificial podría estar a punto de cambiar eso.

En una publicación de blog el martes, Mozilla, el desarrollador del navegador Firefox, dijo que una versión temprana de la IA Claude Mythos de Anthropic —que ha llamado la atención en las últimas semanas por su supuesta destreza en ciberseguridad— ayudó a identificar 271 vulnerabilidades en el navegador durante las pruebas internas. Esos errores fueron parcheados esta semana.

Los resultados destacan cómo los sistemas avanzados de IA pueden analizar grandes bases de código y localizar debilidades que antes requerían una revisión manual exhaustiva por parte de investigadores humanos de ciberseguridad.

“A medida que estas capacidades llegan a manos de más defensores, muchos otros equipos están experimentando el mismo vértigo que nosotros cuando los hallazgos salieron a la luz por primera vez”, escribió Mozilla. “Para un objetivo endurecido, solo uno de esos errores habría sido una alerta roja en 2025, y tantos a la vez te hacen dudar si es posible mantenerse al día.”

Mozilla había probado anteriormente otro modelo de Anthropic que identificó 22 errores sensibles a la seguridad en una versión anterior de Firefox. A pesar de estos éxitos, Mozilla reconoció que la industria de la ciberseguridad ha tratado durante mucho tiempo la eliminación completa de las vulnerabilidades de software como un “objetivo poco realista”.

“Hasta ahora, la industria ha luchado contra la seguridad en gran medida hasta un empate”, escribió la compañía. “Los proveedores de software crítico expuesto a internet como Firefox toman la seguridad extremadamente en serio y tienen equipos de personas que se levantan cada mañana pensando en cómo mantener seguros a los usuarios.”

Mozilla dijo que el nuevo sistema de IA puede analizar el código fuente e identificar vulnerabilidades de maneras que antes dependían de la escasa experiencia humana. Sin embargo, Mozilla dijo que la compañía se sintió alentada al ver que no se encontraron errores que no pudieran haber sido descubiertos por “un investigador humano de élite”.

“Algunos comentaristas predicen que los futuros modelos de IA desenterrarán formas de vulnerabilidades completamente nuevas que desafiarán nuestra comprensión actual, pero no creemos que sea así”, dijeron. “El software como Firefox está diseñado de manera modular para que los humanos puedan razonar sobre su corrección. Es complejo, pero no arbitrariamente complejo.”

Los resultados, sin embargo, sugieren que las herramientas de IA podrían permitir a los desarrolladores descubrir un gran número de vulnerabilidades antes de que los atacantes las exploten; aunque, a la inversa, en las manos equivocadas, podría significar grandes problemas tanto para las empresas de software como para los usuarios.

Lanzado en marzo, Mythos es el modelo más avanzado de Anthropic para tareas de razonamiento, codificación y ciberseguridad. Los materiales internos de la compañía describen el sistema como parte de un nuevo nivel de modelo más allá de la serie Opus anterior de la compañía.

Las pruebas realizadas antes del lanzamiento del modelo mostraron que podía identificar miles de vulnerabilidades previamente desconocidas en los principales sistemas operativos y navegadores web.

Anthropic ha limitado el acceso al sistema a través de un programa restringido llamado Proyecto Glasswing, que otorga a empresas tecnológicas seleccionadas —incluidas Amazon, Apple y Microsoft— la capacidad de usar el modelo para escanear software en busca de debilidades. Esto refleja un esfuerzo creciente dentro de la industria de la ciberseguridad para utilizar sistemas de IA para identificar y parchear vulnerabilidades antes de que los atacantes puedan explotarlas.

Sin embargo, la misma tecnología también podría habilitar nuevas formas de ciberataques. Los investigadores de seguridad afirman que los sistemas de IA capaces de analizar código a gran escala podrían automatizar el descubrimiento de vulnerabilidades explotables en software ampliamente utilizado.

Después del lanzamiento de Mythos, las pruebas realizadas por el AI Security Institute del Reino Unido encontraron que la IA podía ejecutar de forma autónoma operaciones cibernéticas complejas, incluida la finalización de una simulación de ataque de red corporativa de múltiples etapas sin asistencia humana. Esas capacidades han atraído la atención tanto de gobiernos como de agencias de inteligencia.

A pesar de un llamado de la administración del Presidente Donald Trump para dejar de usar la tecnología de Anthropic debido a un choque sobre su uso en asuntos de guerra y vigilancia, el lunes se reveló que la Agencia de Seguridad Nacional estaba ejecutando Claude Mythos Preview en redes clasificadas, según fuentes familiarizadas con el despliegue. El uso de Mythos subraya el creciente interés entre las agencias de seguridad de EE. UU. en la capacidad del modelo para identificar vulnerabilidades críticas de software.

El rendimiento del modelo también ha expuesto los límites de los sistemas de evaluación de IA existentes. A principios de este mes, Anthropic reconoció que varios puntos de referencia de ciberseguridad ya no son suficientes para medir las capacidades de sus modelos más recientes.

Mozilla dijo que los resultados apuntan a un cambio potencial en la ciberseguridad, donde los defensores podrían comenzar a cerrar la ventaja de larga data que los atacantes han mantenido.

“Estamos extremadamente orgullosos de cómo nuestro equipo se levantó para afrontar este desafío, y otros también lo harán”, escribió Mozilla. “Nuestro trabajo no ha terminado, pero hemos dado un giro y podemos vislumbrar un futuro mucho mejor que solo mantenernos al día. Los defensores finalmente tienen la oportunidad de ganar, decisivamente.”

Mozilla no respondió de inmediato a una solicitud de comentarios de Decrypt.