Claude Mythos, único modelo que completó la cadena de ataque

Pese a lo que se vio con los modelos de OpenAI descontrolados, creando foros y entrando a Hugging Face, solo un modelo avanzado completó de forma autónoma la cadena de ciberataque completa en las pruebas de Booz Allen: Claude Mythos, de Anthropic.

Esto no significa que los ataques autónomos con inteligencia artificial estén sobredimensionados. Y conviene señalar que los modelos evaluados no incluyen a Astra, el modelo que OpenAI está por lanzar y que, según informó la empresa el martes, alcanzó su umbral "crítico" de capacidad en ciberseguridad. Eso significa que el modelo nuevo es tan bueno encontrando y explotando fallas de día cero que representa un riesgo significativo para sistemas críticos, tanto por usuarios maliciosos como por el propio modelo, capaz de ejecutar acciones dañinas "si está desalineado".

Booz Allen sostiene que la mayoría de los otros 17 modelos estadounidenses y chinos que evaluó alcanzará el mismo nivel de armamentización de Mythos dentro de seis meses, y califica de "inminentes" los ataques masivos con inteligencia artificial, tanto de criminales con motivación financiera, como las bandas de ransomware, como de operadores respaldados por gobiernos.

En su primer Cyber Weapon Index, la firma de consultoría y tecnología llama a Estados Unidos a fijar y hacer cumplir plazos por sector para que la infraestructura crítica demuestre resiliencia frente a los ataques habilitados por IA.

"Debemos desarrollar de manera agresiva capacidades agénticas que aceleren las operaciones cibernéticas ofensivas autorizadas y, al mismo tiempo, construir defensas habilitadas por IA que detecten, decidan y respondan a velocidad de máquina", dice el informe.

¿Cómo se midieron los 18 modelos?

El Cyber Weapon Index evaluó 18 modelos, nueve de desarrolladores estadounidenses y nueve de desarrolladores chinos, bajo condiciones idénticas, y los puntuó según qué tan bien identifican vulnerabilidades, crean capacidades ofensivas y ejecutan ataques de manera autónoma.

El puntaje CWI de cada modelo combina su calificación de investigación de vulnerabilidades (VRS), que mide si el modelo logra identificar fallas plantadas o inéditas, y una calificación de avance en la cadena de ataque (KCAS), que otorga puntos según cuánto progresa el modelo en una intrusión de punta a punta, evaluada con credenciales y sin ellas.

El resto del listado lo completan DeepSeek-V4-Flash (17), Qwen3.5-397B de Alibaba (17), MiniMax-M3 (15), Nemotron-Super de Nvidia (15), Claude Sonnet 5 (13), GLM-4.5-Air de Z.ai (11), Qwen3.6-35B (9) y Qwen3-Coder (4).

Qué logró Mythos que los demás no

El desempeño de Claude Mythos resulta especialmente impresionante o preocupante, según la mirada que se tenga sobre los ataques autónomos. Cuando los evaluadores le entregaron credenciales robadas de empleados, el modelo penetró la red objetivo y obtuvo control de nivel administrador en todos los intentos. Además, identificó por su cuenta cómo escalar privilegios a partir de lo que fue encontrando dentro de la red, sin seguir un plan de ataque predeterminado.

Incluso sin credenciales, Claude Mythos igual accedió a la red y terminó logrando el compromiso total del dominio.

Si bien solo Mythos ejecutó la cadena entera sin asistencia humana, otros tres modelos (Grok-4.5, Muse Spark 1.1 y GLM-5.2) alcanzaron acceso y control completos del dominio. Otros cuatro (GPT-5.6 Sol, Kimi K3, GPT-5.5-Cyber y DeepSeek-V4-Pro) lograron movimiento lateral dentro del entorno de red controlado. Todos salvo uno, Qwen3-Coder, obtuvieron acceso inicial a la red de forma autónoma.

El hallazgo que da respiro a los defensores

Cuando los evaluadores introdujeron vulnerabilidades a propósito, los modelos estadounidenses, chinos, de pesos abiertos y cerrados puntuaron todos cerca del techo en el componente VRS. Sin embargo, al enfrentarlos a fallas reales, los nueve modelos de frontera con API puntuaron cero. Un modelo líder no identificado incluso analizó correctamente el componente vulnerable, pero luego lo descartó como seguro. Solo Claude Mythos lo explotó.

"La capacidad ofensiva en el mundo real todavía va por detrás del rendimiento en benchmarks, lo que da a los defensores un tiempo valioso para reforzar sus defensas antes de que esa brecha se cierre", plantea Booz Allen.

Por qué el arnés importa tanto como el modelo

Otro hallazgo relevante es que el arnés de ataque pesa al menos tanto como el modelo, si no más. Ese arnés es el software que conecta un modelo con herramientas de intrusión, más la lógica de orquestación que lo envuelve para automatizar acciones ofensivas, y puede "amplificar dramáticamente" la capacidad del modelo de mantener el foco, adaptarse, recuperarse de fallas y encadenar acciones individuales en un ataque de múltiples etapas.

"El resultado no es un modelo más inteligente, sino un sistema que vuelve su inteligencia mucho más accionable y que además baja la experticia necesaria para usarlo", señala el informe. "Nuestras pruebas demuestran el efecto: emparejado con un arnés de ataque, Claude Sonnet rivalizó con el desempeño de Claude Mythos".

Eso expone también un punto ciego, advierten los autores: no se conoce todavía la capacidad de cadena completa de los modelos de pesos abiertos o chinos cuando se los empareja con arneses optimizados, aunque los resultados sugieren con fuerza que combinaciones plenamente capaces de modelo y arnés ya existen hoy.