El modelo de IA Claude Mythos de Anthropic, presentado a principios de abril como el más avanzado de la compañía, está generando preocupación a nivel de ministros de finanzas y bancos centrales. El ministro de finanzas canadiense François-Philippe Champagne confirmó a la BBC que Mythos fue discutido en una reunión del Fondo Monetario Internacional (FMI) esta semana en Washington DC, calificándolo como un «desconocido desconocido» lo suficientemente serio como para «garantizar la atención de todos los ministros de finanzas». El gobernador del Banco de Inglaterra, Andrew Bailey, dijo a la BBC que «tenemos que examinar muy cuidadosamente lo que este último desarrollo de IA podría significar para el riesgo de cibercrimen». La UE también está en conversaciones con Anthropic sobre sus preocupaciones respecto a Mythos.
Anthropic presentó Mythos Preview el 7 de abril junto con Project Glasswing, afirmando que el modelo había encontrado miles de vulnerabilidades de alta gravedad en sistemas operativos y navegadores web, incluyendo un bug de 27 años. En lugar de lanzarlo al público, dio acceso a 12 organizaciones partner (Apple, Google, Microsoft, AWS, CrowdStrike, JPMorgan Chase, entre otras) y a más de 40 entidades que mantienen infraestructura crítica. El CEO de Anthropic, Dario Amodei, se ofreció a trabajar con funcionarios del gobierno de EE.UU. para «defender contra el riesgo de estos modelos».
Ciaran Martin, ex director del National Cyber Security Centre del Reino Unido, dijo a la BBC que la afirmación de que Mythos puede descubrir vulnerabilidades críticas mucho más rápido que otros modelos de IA «realmente ha sacudido a la gente». Describió el modelo como «un hacker realmente bueno» incluso contra debilidades conocidas que las organizaciones podrían no haber parcheado. Martin añadió que «la segunda cosa es que, incluso con debilidades existentes que conocemos, pero contra las que las organizaciones podrían no haber parcheado o no estar bien defendidas, es simplemente un hacker muy bueno». Sin embargo, el UK AI Safety Institute, tras evaluar el modelo, concluyó que su mayor amenaza sería contra sistemas mal defendidos y vulnerables: «No podemos decir con certeza si Mythos Preview sería capaz de atacar sistemas bien defendidos», dijeron sus investigadores. Eso introduce un matiz crucial: donde hay buena ciberseguridad, este modelo sería, en teoría, detenido.
La reacción del sector financiero no es solo cautela genérica. Deloitte estimó que el fraude financiero mediante deepfakes podría alcanzar los 40.000 millones de dólares en 2027 solo en EE.UU. Un modelo capaz de encontrar vulnerabilidades zero-day a velocidad sin precedentes añade una nueva dimensión al riesgo: no se trata solo de ingeniería social o phishing, sino de la posibilidad de que un actor malintencionado use capacidades similares para comprometer infraestructura bancaria directamente. La respuesta de OpenAI fue lanzar GPT-5.4-Cyber con una filosofía opuesta: acceso amplio con verificación, en lugar del acceso ultra-restringido de Anthropic. Los ataques con IA ya son una realidad documentada: en enero de 2026, un hacker ruso usó Claude para atacar más de 600 firewalls en 55 países.
Mi valoración: que Mythos se discuta en reuniones del FMI y preocupe al gobernador del Banco de Inglaterra es significativo por lo que implica: la IA ha pasado de ser un tema de conferencias tech a ser un riesgo sistémico que los reguladores financieros toman en serio. La pregunta de fondo es si la preocupación es proporcional a la capacidad real del modelo o si estamos ante un ciclo de hype donde Anthropic se beneficia de que su producto sea percibido como «demasiado peligroso» (lo cual, paradójicamente, es la mejor publicidad posible).
Martin lo resume bien: «Para algunos esto es un evento apocalíptico, para otros parece mucho hype». La verdad probablemente está en el medio: Mythos es genuinamente capaz de encontrar vulnerabilidades más rápido que cualquier herramienta anterior, pero la mayoría de ciberataques exitosos no usan zero-days sofisticados sino phishing básico y contraseñas reutilizadas. El NCSC tiene razón en su consejo: lo más importante ahora no es entrar en pánico sino asegurar que la ciberseguridad básica esté bien hecha. Un sistema bien parcheado, con autenticación multifactor y monitorización activa, resistirá a Mythos igual que resiste a un hacker humano senior.
Lo que sí cambia con Mythos es la escala y la velocidad. Un hacker humano puede encontrar una vulnerabilidad en una semana; Mythos puede encontrar miles en el mismo tiempo. Para una institución financiera con miles de sistemas interconectados, eso transforma un riesgo gestionable (un atacante humano, un vector a la vez) en un riesgo exponencial (un atacante con IA, cientos de vectores simultáneos). Esa es la razón real por la que los ministros de finanzas prestan atención: no porque Mythos sea mágico, sino porque cambia la aritmética del riesgo de ciberseguridad de forma que los modelos actuales de gestión de riesgo no contemplan. La regulación financiera, que ya exige tests de estrés periódicos, probablemente empezará a exigir tests de resiliencia contra herramientas de IA ofensiva. Y ahí Mythos habrá cambiado las reglas del juego, independientemente de si era «hype» o no.
Preguntas frecuentes
¿Mythos está disponible para el público? No. Solo está accesible a través de Project Glasswing para 12 organizaciones partner y más de 40 entidades que gestionan infraestructura crítica. ¿Puede hackear bancos? El UK AI Safety Institute dice que Mythos es una amenaza real para sistemas mal defendidos, pero no pueden confirmar que pueda comprometer sistemas bien protegidos. La preocupación del sector financiero no es que Mythos hackee un banco grande mañana, sino que modelos con capacidades similares proliferen y sean usados por actores sin las restricciones de seguridad que Anthropic aplica. ¿Qué hace diferente a Mythos de otros modelos de IA? Según Anthropic, Mythos puede encontrar vulnerabilidades zero-day autónomamente a una velocidad sin precedentes, incluyendo bugs que llevaban décadas sin detectar en código crítico. Es un modelo general (no solo de ciberseguridad) con capacidades agénticas de codificación superiores, lo que significa que un modelo entrenado para programar bien es también un modelo capaz de encontrar fallos en código ajeno.