Booz Allen Hamilton no publicó un benchmark. Publicó un informe que dice que los benchmarks de IA ya no dicen lo que la gente cree que dicen. El Cyber Weapon Index de la firma consultora probó 18 modelos de IA —9 americanos y 9 chinos— contra una red corporativa real sin ningún software de soporte, ningún menú de herramientas y ningún operador humano. Solo el modelo y una red con defensa activa. El resultado que domina los titulares: Claude Mythos de Anthropic marcó 80 puntos sobre 100 y fue el único modelo que completó la cadena de ataque completa, de la primera intrusión al control total del dominio, en todos los intentos.
El resultado que el propio Booz Allen dice que importa más: Claude Sonnet 5 marcó 13 puntos sin asistencia. Equipado con un harness de ataque —el software que conecta un modelo a herramientas de hacking y lo mantiene en la tarea— llegó a 80 puntos: exactamente el mismo nivel que Mythos. La diferencia entre el modelo en el puesto 1 y el modelo en el puesto 15 no fue capacidad del modelo. Fue plomería barata.
Cómo midieron exactamente
Cada modelo recibió su propia máquina de atacante y emitía comandos de uno en uno. No había menú de herramientas, no había software de soporte —eso era el punto. Booz Allen quería medir qué puede hacer un modelo solo, desnudo de la ingeniería que normalmente lo rodea. La puntuación combinaba dos partes: análisis binario —encontrar vulnerabilidades en software compilado sin código fuente— y una intrusión contra una red Active Directory con defensa activa, desde el primer acceso hasta el control total de dominio. Booz Allen puntuó lo que los registros de la red demostraron, no lo que los modelos afirmaron haber hecho.
Detrás de Mythos: Grok-4.5 con 49, GPT-5.6 Sol con 46, Muse Spark 1.1 y Kimi K3 empatados a 38, GLM-5.2 con 37, Claude Opus 4.8 con 36, Qwen3-Coder de Alibaba último con 4. Tres modelos además de Mythos tomaron control total del dominio. Cuatro más se movieron lateralmente dentro de la red. Todos menos uno entraron sin asistencia. Los modelos chinos y americanos no mostraron diferencia sustancial entre sí, lo que complica las narrativas geopolíticas sobre amenazas de ciberseguridad que distinguen entre modelos según su origen.
La capacidad de los modelos de IA para encontrar vulnerabilidades desconocidas ha crecido al punto en que Anthropic documentó 10.000 vulnerabilidades críticas en un mes a través del Proyecto Glasswing. El Cyber Weapon Index añade la dimensión de ataque agentivo autónomo: no encontrar vulnerabilidades en código estático sino ejecutar una intrusión completa contra defensa activa, tomando decisiones a cada paso sin guía humana.
El segundo hallazgo que pasó desapercibido en la cobertura del miércoles es el de los hermanos. Un modelo rechazó completar una tarea porque no tenía credenciales. Su variante «tuned para ciberseguridad», ante la misma tarea, cumplió y la ejecutó. La conclusión de Booz Allen: las salvaguardas son una propiedad de la configuración, no del modelo. Un rechazo en un contexto no predice el comportamiento en otro contexto. El mismo día, un investigador demostró que podía secuestrar Claude Code para ejecutar acciones no autorizadas pidiéndole que resumiera una página web: la superficie de ataque de los modelos agentivos es la interfaz entre el modelo y las herramientas externas.
En wwwhatsnew.com seguimos la evolución de la capacidad ofensiva de los modelos de IA desde los primeros reportes de modelos capaces de encontrar vulnerabilidades conocidas. Lo que el Cyber Weapon Index añade al panorama es la escala agentiva: 18 modelos ejecutando intrusiones completas de forma autónoma contra defensa activa. El informe tiene un conflicto de intereses declarado —Booz Allen publica simultáneamente Vellox Labs Guile, su producto para disrumpir ataques autónomos—, pero la metodología de registros de red verificados frente a afirmaciones de los modelos es más rigurosa que la mayoría de los benchmarks existentes. La advertencia más important del informe es también la más directa: Booz Allen espera que la mayoría de los 18 modelos alcancen el nivel de Mythos en seis meses.
Hay un punto en el informe que merece más atención de la que recibió el miércoles: la diferencia entre vulnerabilidades planificadas y vulnerabilidades reales. Contra flaws explícitamente introducidos en el entorno de prueba, todos los modelos frontera puntuaron cerca del máximo. La diferencia entre americanos y chinos, entre abiertos y cerrados, desaparece. El gap aparece en el mundo real: contra una vulnerabilidad genuina y no vista en código de producción, todos los modelos puntuaron cero excepto Mythos, que la identificó y la explotó.
En wwwhatsnew.com llevamos meses cubriendo el debate sobre si los benchmarks de ciberseguridad de IA miden algo real. El índice de Booz Allen es el intento más riguroso hasta ahora con un entorno real. Sus conclusiones son más matizadas que el titular de «Claude Mythos encabeza el ranking»: el modelo ya no es la unidad de riesgo, el harness importa tanto como el modelo, y la diferencia real entre modelos americanos y chinos en capacidad ofensiva es mucho menor de lo que los políticos asumen. El conflicto de intereses del informe —Booz Allen publicó Vellox Labs Guile junto a él— no invalida los datos del benchmark, pero exige leer las recomendaciones con escepticismo.
Lo que Booz Allen no puede responder —porque el informe no cubre ese escenario— es qué ocurre cuando un atacante tiene un harness diseñado específicamente para Mythos. El índice muestra que Sonnet con harness iguala a Mythos sin harness. La pregunta consecuente es si Mythos con harness tiene un techo significativamente más alto. En wwwhatsnew.com la respuesta a esa pregunta tiene implicaciones directas para la política de control de acceso a los modelos más capaces de Anthropic —que ahora también aparece en el marketplace de CrowdStrike para uso defensivo.
El informe de Booz Allen también menciona explícitamente el incidente de Hugging Face de julio de 2026, donde un modelo completó un ciclo completo de intrusión en un sistema real, no en un entorno de laboratorio. Ese incidente —el primero de ese tipo documentado públicamente— es el punto de inflexión que hace que el Cyber Weapon Index de Booz Allen sea no solo un benchmark académico sino un mapa de riesgo operativo.