Payward, la empresa matriz del exchange de criptomonedas Kraken, se unió al Proyecto Glasswing de Anthropic el 17 de agosto y obtuvo acceso restringido a Claude Mythos 5 para trabajos defensivos de ciberseguridad.
La empresa planea utilizar el modelo de inteligencia artificial para escanear sus entornos de software en busca de vulnerabilidades durante las próximas semanas. Los hallazgos entrarán en el proceso de revisión de seguridad existente de Payward en lugar de producir cambios de software automáticamente.
Payward también dijo que tiene la intención de divulgar las vulnerabilidades validadas que afecten a proyectos de código abierto de terceros a sus mantenedores. La empresa no identificó sus primeros objetivos de escaneo, no publicó un cronograma de implementación ni reveló el costo de su acceso a Mythos 5.
Payward dijo que Claude Mythos 5 examinará todos los entornos de la empresa en busca de debilidades de software. Su infraestructura soporta servicios de trading, custodia y liquidación de activos digitales que permanecen disponibles de forma continua.
El anuncio no especifica si Mythos 5 tendrá acceso a sistemas de producción, copias aisladas de código fuente o entornos de prueba controlados. Payward tampoco describió cómo su equipo de seguridad validará los hallazgos antes de aprobar las correcciones.
Los falsos positivos siguen siendo una preocupación práctica cuando los sistemas de inteligencia artificial revisan software complejo. Un modelo puede identificar código inalcanzable, duplicar un informe existente o malinterpretar cómo funciona un componente en producción. Por lo tanto, se requiere una revisión humana antes de que los equipos clasifiquen un problema como una vulnerabilidad.
La Fundación Ethereum llegó a una conclusión similar al probar agentes de seguridad de IA. Como informó crypto.news, sus investigadores descubrieron que los informes de vulnerabilidades generados por IA aún requerían validación humana independiente, particularmente cuando los agentes examinaban código de protocolo complejo.
Arjun Sethi, co-CEO de Payward, dijo que la IA podría cambiar el desequilibrio entre atacantes y defensores al leer código a mayor escala.
“Un modelo puede leer cada línea de código de la misma manera que lo haría un atacante, a escala de máquina, así encontramos la falla antes de que cualquiera pueda construir el exploit”, dijo Sethi.
La declaración describe la ventaja defensiva prevista de Payward. La empresa aún no ha publicado resultados que muestren cuántas fallas válidas encontró Mythos 5 dentro de sus sistemas.
Anthropic lanzó el Proyecto Glasswing en abril de 2026 para brindar a proveedores de infraestructura y mantenedores de software seleccionados acceso temprano a sus modelos de ciberseguridad más potentes.
Los participantes iniciales incluyeron a Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks y la Linux Foundation. Anthropic luego expandió la iniciativa a aproximadamente 150 organizaciones en más de 15 países.
La empresa dice que las organizaciones participantes deben cumplir con los requisitos de seguridad antes de recibir acceso. Mythos 5 no está disponible generalmente porque las mismas capacidades utilizadas para identificar vulnerabilidades también pueden ayudar a producir exploits funcionales.
Según se informó anteriormente, Anthropic restauró el acceso a Mythos solo a organizaciones estadounidenses verificadas después de que el gobierno de EE. UU. levantara las restricciones temporales de exportación. El modelo Claude Fable 5, más seguro, volvió a estar disponible de forma más amplia.
Payward dijo que su acceso siguió a la decisión de EE. UU. que permitía a Mythos 5 llegar a organizaciones que operan y defienden infraestructura crítica. La página oficial del modelo de Anthropic confirma que el acceso fue restaurado para un conjunto de organizaciones estadounidenses tras la aprobación del gobierno.
Ni Anthropic ni el gobierno de EE. UU. han designado públicamente cada plataforma de activos digitales como infraestructura crítica. La declaración de Payward de que tales plataformas "pertenecen a esa lista" representa la posición de la empresa en lugar de una clasificación gubernamental formal.
Anthropic describe a Claude Mythos 5 como su modelo más capaz para la ciberseguridad y la investigación biológica. El modelo puede inspeccionar código, identificar debilidades, sugerir parches y ayudar a los investigadores aprobados con la prueba de rutas de exploit.
El anterior Mythos Preview del Proyecto Glasswing supuestamente encontró más de 10,000 fallas clasificadas como de gravedad alta o crítica en software ampliamente utilizado. El panel de divulgación coordinada de Anthropic mostró 1,596 vulnerabilidades reportadas en 281 proyectos de código abierto hasta el 22 de mayo.
Esas cifras son mediciones de Anthropic y no significan que cada hallazgo inicial del modelo fuera válido. Su panel registró una tasa de verdaderos positivos del 90.8% entre 1,900 candidatos revisados por empresas de seguridad externas.
Anthropic dijo que el triaje humano independiente sigue siendo la etapa limitante. Solo 97 hallazgos listados habían sido parcheados upstream en el momento de la actualización del panel, mientras que 88 habían recibido un identificador de aviso público.
El modelo también puede crear componentes de exploit y combinarlos en cadenas de ataque. Anthropic citó esta capacidad de doble uso al explicar por qué Mythos 5 permanece limitado a socios aprobados.
En cobertura relacionada, los investigadores descubrieron que los modelos de la clase Mythos podían convertir fallas de software en cadenas de exploit funcionales. Un acceso más amplio, por lo tanto, daría a los atacantes algunas de las mismas capacidades disponibles para los defensores.
Payward dijo que las vulnerabilidades descubiertas en código de terceros compartido se enviarán a los mantenedores de proyectos relevantes. Presentó ese proceso como una forma de proteger a otras organizaciones que utilizan el mismo software.
La empresa no publicó una política de divulgación coordinada para la iniciativa. Detalles importantes sin respuesta incluyen cuánto tiempo tendrán los mantenedores para parchear las fallas, qué hallazgos Payward puede divulgar públicamente y cómo manejará los proyectos que no respondan.
La divulgación responsable normalmente requiere que los investigadores verifiquen una vulnerabilidad, contacten al mantenedor de forma privada y permitan tiempo para la remediación antes de publicar información técnica. La publicación prematura puede exponer a los usuarios antes de que un parche esté disponible.
Payward ha enfrentado previamente disputas sobre investigación de seguridad. Como informó crypto.news, Kraken parcheó una falla de depósito que los investigadores utilizaron para retirar casi $3 millones. El exchange recuperó los fondos posteriormente tras un desacuerdo público con CertiK.
Ese episodio no estaba relacionado con el Proyecto Glasswing, pero muestra por qué son importantes las reglas claras de prueba y divulgación. El escaneo con IA puede aumentar el número de hallazgos reportados, creando trabajo adicional para los equipos de seguridad y los mantenedores.
Payward planea comenzar a escanear sus entornos en semanas. Las próximas actualizaciones verificables incluirían vulnerabilidades confirmadas, parches completados o divulgaciones públicas coordinadas con los proyectos de código abierto afectados.
No se anunciaron objetivos de rendimiento. Payward no dijo con qué frecuencia Mythos 5 escaneará sus sistemas o si el modelo revisará código nuevo antes de la implementación.
Anthropic requiere que los clientes de Mythos 5 acepten una retención de datos de treinta días para la supervisión de seguridad. Payward no ha explicado qué código o información del sistema se enviará, cómo se separarán los datos sensibles o si la información del cliente queda fuera del proceso de escaneo.
Por ahora, el desarrollo confirmado es la admisión de Payward al Proyecto Glasswing y el uso planificado de Claude Mythos 5. Si el modelo mejora la seguridad de la empresa dependerá de la calidad de sus hallazgos, la verificación humana y la velocidad de los parches posteriores.
