Qué significa el Proyecto Glasswing para quienes dirigen la ciberseguridad.

El proyecto Glasswing de Anthropic se lanzó hace unas semanas, y probablemente ya viste los titulares.  

Doce socios, entre los que se incluyen líderes tecnológicos y de ciberseguridad como Microsoft, Apple, Amazon, Google, CrowdStrike y Palo Alto Networks, acordaron emplear el modelo de IA Mythos Preview de Claude con fines de seguridad defensiva. Anthropic destinó 100 millones de dólares a créditos de uso para esta iniciativa.

Mythos Preview ya descubrió miles de vulnerabilidades de día cero de alta gravedad, incluyendo fallos en todos los principales sistemas operativos y navegadores sitio web. Descubrió vulnerabilidades en semanas que toda la comunidad de investigación en seguridad pasó por alto durante décadas.

Andrew Rubin, CEO y fundador de Illumio, dejó claro en una reciente publicación de blog que no se trata de un cambio gradual. Cuando los atacantes se mueven a velocidad de máquina mientras los defensores continúan mover a velocidad humana, se acabó la partida.  

El antiguo modelo de intentar bloquear las amenazas en el perímetro quedó obsoleto, la prevención perfecta siempre fue una quimera —más aún ahora— y la resiliencia debe sustituir a la prevención como misión principal de la ciberseguridad.

El anuncio de Anthropic es muy importante, y quiero hablar sobre lo que sucederá a continuación. En concreto, quiero analizar qué significa esto para las personas que gestionan las TI y la ciberseguridad en organizaciones que no figuran en la lista de socios del proyecto.

Se avecina una avalancha de CVE.

Seamos específicos sobre la capacidad demostrada por Mythos.  

Mythos Preview analiza el software de producción existente, como los sistemas operativos, los navegadores y las bibliotecas de código abierto que miles de millones de personas emplean a diario.  

Detecta vulnerabilidades de forma autónoma, escribe exploits funcionales y encadena múltiples fallos en secuencias de ataque completas. Y lo hace con una tasa de éxito del 83% en el primer intento.

Actualmente, esta funcionalidad está sujeta a un lanzamiento controlado. Alrededor de 40 organizaciones tienen acceso, con normas estrictas sobre el uso defensivo y la divulgación coordinada.  

Anthropic informa primero de las vulnerabilidades a los responsables del mantenimiento antes de hacerlas públicas, para darles tiempo a solucionarlas. Solo publica detalles técnicos una vez que se implementaron las correcciones.

Pero he aquí lo que la propia Anthropic reconoció en su anuncio: “La labor de defender la infraestructura cibernética mundial podría llevar años. Es probable que las capacidades de la IA de vanguardia avancen sustancialmente en los próximos meses.

Estas capacidades se extenderán. Si Anthropic lo construyó, otros también lo harán. El lanzamiento controlado da tiempo, pero no cambia el rumbo que está tomando la situación.

Nos dirigimos hacia un mundo donde el descubrimiento de vulnerabilidades se produce a la velocidad de las máquinas, de forma continua, en todos los programas informáticos existentes.

Y el ecosistema CVE ya está al límite de su capacidad. GitHub registró un aumento del 224% en los reportes de vulnerabilidades durante un periodo reciente de 90 días. Los responsables del mantenimiento están desbordados, y eso sin contar con que los hallazgos de Mythos empiecen a circular masivamente por el sistema de divulgación.

¿Qué significa esto para los CISO, los directores de TI y los equipos de seguridad?

Resulta útil pensar en esto desde la perspectiva de una persona que recibe una notificación un martes por la mañana de que se detectaron 40 nuevas vulnerabilidades críticas (CVE) para el software que se ejecuta en su entorno.

Aplicar parches a gran escala ya era imposible. Ahora, es una fantasía.  

El problema con los parches nunca fue el parche en sí. Se trata de las cadenas de dependencia, las pruebas de regresión y los plazos de aprobación de cambios. No se puede actualizar un sistema de producción crítico sin garantizar que siga funcionando después.  

Una compañía promedio tarda entre 60 y 150 días en solucionar una vulnerabilidad crítica. Cuando los modelos de IA de la clase Mythos generan cientos de vulnerabilidades críticas (CVE) por semana en toda la pila de software, esa matemática no solo deja de funcionar, sino que se vuelve absurda.  

Tu programa de gestión de vulnerabilidades se convirtió en un ejercicio de triaje.

Todos los equipos de seguridad ya tienen una acumulación de miles de vulnerabilidades sin parchear. Esa acumulación de casos está a punto de multiplicar.  

La pregunta ya no es "¿podemos solucionar todos los problemas críticos?". Pero "¿podemos determinar qué 2% de estos factores realmente importan en nuestro entorno específico?"  

Los escáneres y las herramientas de gestión de la exposición son más valiosos que nunca, no solo para encontrar vulnerabilidades, sino también para priorizarlas. Los equipos de seguridad necesitan saber cuál de esas 500 nuevas vulnerabilidades (CVE) se encuentra realmente en una ruta que un atacante podría explotar en su red.

El tiempo de explotación se reducirá aún más.

Ya estamos observando una disminución en el tiempo que tardan los atacantes en explotar las vulnerabilidades.  

Según investigaciones recientes, el 32% de las vulnerabilidades CVE explotadas en la primera mitad de 2025 mostraron actividad de explotación el mismo día de su divulgación o antes. Las vulnerabilidades explotadas superaron al phishing como el principal vector de acceso inicial.  

Ahora, sumemos modelos de IA que puedan generar exploits funcionales en 10-15 minutos por aproximadamente un dólar. El lapso de tiempo entre la publicación de una vulnerabilidad y su explotación en la práctica se está reduciendo a cero.  

Tu ciclo de actualizaciones de 90 días ya no es solo un plan, sino una responsabilidad.

¿Cambiará Mythos la forma en que se desarrolla el software?

En estos momentos, los participantes de Glasswing están empleando Mythos para analizar el software de producción existente. No está integrado en el ciclo de vida del desarrollo de software (SDLC).  

Pero es ingenuo pensar que eso seguirá siendo así en el futuro. Una vez que se dispone de un modelo capaz de encontrar vulnerabilidades de día cero en código de producción a esta escala, el siguiente paso lógico es ejecutarlo durante el desarrollo, en los pipelines de CI/CD, antes de que se publique el código.

Ese es el escenario optimista. Si el escaneo de clase Mythos se integra en el ciclo de vida del desarrollo de software (SDLC), el software será más seguro antes de llegar a producción. Esto significa que los proveedores distribuyen menos vulnerabilidades y, con el tiempo, la avalancha de CVE se estabiliza.

Pero esa transición llevará años. Todos los principales proveedores de software deben integrar esta capacidad, adaptar sus procesos de desarrollo y corregir los problemas que detecte el modelo antes de su lanzamiento.  

Mientras tanto, vivimos en la brecha. La IA detecta vulnerabilidades más rápido de lo que cualquier persona, ya sea proveedor o cliente, puede solucionarlas.

Por qué la contención de brechas basada en la segmentación es la respuesta

Si no puedes aplicar parches a la velocidad de la máquina (y realmente no puedes), necesitas controles que ya estén implementados antes de que llegue la vulnerabilidad. Es aquí donde la conversación debe pasar de la remediación de la brecha a la contención.

La segmentación se convierte en el control principal en lugar de un elemento deseable.

Si un atacante puede explotar una vulnerabilidad a las pocas horas de su divulgación, lo único que limita el daño es su capacidad para mover lateralmente tras la vulneración inicial.  

La microsegmentación forzada en tiempo real con herramientas como Illumio Segmentation limita el radio de la explosión, independientemente de la vulnerabilidad específica que se explotó. Es independiente de la vulnerabilidad.  

Y eso es precisamente lo que necesitas cuando el volumen de vulnerabilidades supera tu capacidad para rastrearlas individualmente.

La pregunta cambia de "¿qué es vulnerable?" a "¿qué es alcanzable?".  

Una vulnerabilidad crítica de día cero en un sistema aislado sin vías de movimiento lateral tiene una baja prioridad.  

¿Pero un fallo de gravedad media en un sistema que se encuentra en la ruta más corta entre su perímetro y sus activos críticos? Eso es una verdadera emergencia.  

Los equipos deben comprender no solo dónde se encuentran las vulnerabilidades, sino también cómo los atacantes pueden mover lateralmente a través de su entorno. Soluciones como Illumio Insights los ayudan a priorizar la contención donde más importa.

Los controles de identidad y acceso agravan el efecto.

La segmentación impide que los atacantes se muevan a través de su red. Los estrictos controles de identidad limitan lo que un atacante puede hacer incluso dentro de un mismo segmento. Esto permite el acceso con privilegios mínimos, credenciales justo a tiempo y verificación continua.  

Cada capa de contención que se agrega dificulta el trabajo del atacante, independientemente de la rapidez con la que accedió al sistema.

Cinco cosas que hacer a continuación

¿Qué puedes hacer al respecto? Aquí es donde puedes empezar.

• Conviértalo en una decisión de resiliencia empresarial en lugar de un proyecto de seguridad. La segmentación es una disciplina continua vinculada directamente a cómo opera su negocio bajo presión. Comencemos por plantear la conversación a nivel de liderazgo: si una credencial se ve comprometida mañana, ¿qué impide realmente que el atacante acceda a los sistemas críticos? Si la respuesta no es clara, estás asumiendo un riesgo operativo no cuantificado. Aplique la política, pruébela y amplíela con el tiempo. El objetivo es un conjunto de trayectorias de movimiento lateral cada vez más reducido . ‍
• Defina la superficie que desea proteger. Identifique las cargas de trabajo cuya vulneración sería realmente catastrófica: controladores de dominio, sistemas de pago, datos de pacientes, entornos de tecnología operativa (OT). Cada decisión debe remitir a una pregunta: ¿esto reduce las rutas que un atacante puede tomar para acceder a estos activos ? ‍
• Identifique los riesgos mediante el mapeo de los posibles movimientos de los atacantes. Es necesario comprender no solo qué es vulnerable, sino también qué es alcanzable. Traza las rutas que existen desde un posible punto de acceso hasta tus activos críticos. Cada relación de confianza implícita que no definiste explícitamente es una vía que un atacante puede emplear . ‍
• Para evitar el movimiento lateral, segmente primero el tronco. Empieza por donde el impacto sea mayor. Aplique políticas de segmentación en torno a sus sistemas más críticos, valídelas con tráfico real y, a continuación, aplíquelas y extiéndalas hacia el exterior. El valor aumenta a medida que se eliminan más rutas . ‍
• Construir un modelo de respuesta en torno a la contención. Supongamos que los atacantes lograrán entrar. Su plan de respuesta debe centrar en la rapidez con la que pueda aislar los sistemas afectados, limitar la propagación y mantener las operaciones. La contención no es el último paso. Es el control lo que determina el resultado.

Por qué la seguridad basada en parches ya no funciona

Los mitos no son malas noticias. El modelo de divulgación coordinada es precisamente el tipo de despliegue responsable de IA que necesitamos.  

Pero acelera un ajuste de cuentas que la industria de la ciberseguridad estuvo evitando.  

El modelo de seguridad centrado en parches está obsoleto. Ya estaba cediendo ante el peso de más de 30.000 eventos cardiovasculares adversos mayores (CVE) al año. El descubrimiento impulsado por IA a gran escala lo destruirá por completo.

Las organizaciones que salgan bien paradas de esta situación no serán las que apliquen los parches más rápidamente. Serán aquellos que aceptaron que no pueden arreglarlo todo. Diseñarán sus entornos en consecuencia, con una contención de brechas basada en la segmentación y la priorización de riesgos basada en rutas.

Este tipo de infraestructura ya era una buena práctica. El avance de Claude Mythos de Anthropic acaba de convertirlo en algo urgente.

Mira cómo Segmentación de Illumio Permite la contención de brechas en tiempo real en todo su entorno.