Los investigadores de Mozilla informaron en marzo que Claude Opus 4.6 de Anthropic identificó 14 errores de alta gravedad y 22 vulnerabilidades y exposiciones comunes (CVE) durante dos semanas, superando al equipo humano de Mozilla. Después de esto, investigadores de la firma de ciberseguridad Calif de Palo Alto afirmaron que utilizaron una versión de prueba del modelo Mythos de Anthropic para eludir la tecnología de seguridad de Apple macOS.
Los investigadores de California informaron a The Wall Street Journal que ejecutaron un “exploit de escalada de privilegios” combinado con otro vector de ataque, lo que permitió un control potencial sobre un dispositivo objetivo. Desarrollaron un software que vinculó dos errores distintos y utilizaron métodos adicionales para corromper la memoria de una Mac y acceder a áreas restringidas del dispositivo.
El descubrimiento del exploit tomó cinco días y los investigadores observaron que el éxito dependía no sólo de Mythos sino también de las habilidades de los probadores humanos. Apple está revisando actualmente los hallazgos del informe y un portavoz afirmó: “La seguridad es nuestra principal prioridad y nos tomamos muy en serio los informes de posibles vulnerabilidades”.
Anthropic lanzó Mythos, originalmente llamado Proyecto Glasswing, en abril, otorgando acceso a alrededor de 40 empresas tecnológicas seleccionadas. La compañía afirmó que Mythos ha identificado miles de vulnerabilidades de alta gravedad en los principales sistemas operativos y navegadores web, advirtiendo sobre graves consecuencias si dichas herramientas se utilizan incorrectamente.
Michał Zalewski, investigador de seguridad de Google, revisó la investigación de California pero no probó los hallazgos. Comentó sobre el revuelo que rodea a Mythos, describiéndolo como posiblemente “exagerado”, pero reconoció su capacidad para realizar importantes investigaciones de vulnerabilidades y auditorías de códigos.
Han surgido preocupaciones con respecto a la distribución de Mythos. Gary McGraw, ex vicepresidente de Synopsys, comentó a The New York Times que la tecnología en sí no es demasiado peligrosa para publicarla. Hizo hincapié en que retener tales herramientas no aborda las cuestiones centrales de la ciberseguridad.
