Claude Mythos e inteligencia artificial en ciberseguridad empresas

Si mañana tu empresa no pudiera acceder al programa de gestión, al correo o a los archivos de clientes, ¿cuánto tiempo podría seguir trabajando? Esa es una de las preguntas que conviene hacerse al hablar de ciberseguridad, también cuando la noticia gira en torno a una nueva inteligencia artificial. La presentación de Claude Mythos Preview ha llamado la atención por su capacidad para encontrar fallos de seguridad en programas de uso habitual. Para una empresa, el interés está en cómo estos avances pueden afectar a los sistemas de los que depende y qué medidas conviene revisar.

En este artículo explicamos qué anunció Anthropic, qué relación tiene con la seguridad de una pyme y por dónde empezar si quieres conocer mejor los riesgos de tu negocio.

Qué es Claude Mythos y por qué se habla de él en ciberseguridad

Claude Mythos Preview es un modelo de inteligencia artificial de Anthropic con capacidades avanzadas para analizar código y encontrar vulnerabilidades: fallos que alguien podría aprovechar para acceder a un sistema, interrumpir su funcionamiento o extraer información.

En la presentación del Proyecto Glasswing, el 7 de abril de 2026, Anthropic explicó que el modelo había identificado miles de vulnerabilidades graves. Entre los ejemplos publicados figuraba un fallo en OpenBSD que llevaba 27 años sin detectarse y podía provocar el bloqueo remoto de un equipo. Según la compañía, ese fallo ya había sido corregido. Anthropic anunció el uso de Mythos Preview en trabajos defensivos junto con socios como Microsoft, Apple, Google y AWS. El acceso también se extendió a más de cuarenta organizaciones adicionales que desarrollan o mantienen software crítico. Los detalles y resultados corresponden a las pruebas descritas por el propio proveedor.

Estos avances apuntan a una mayor capacidad para localizar y corregir problemas de seguridad. También plantean el riesgo de que herramientas con capacidades similares faciliten el trabajo de los atacantes.

Cómo puede afectar a una empresa que no utiliza inteligencia artificial

Una empresa puede verse afectada aunque sus empleados no utilicen Claude ni ninguna otra herramienta de IA. Su exposición depende, entre otras cosas, de los programas que utiliza, de los accesos que permite y de cómo mantiene sus sistemas. Pensemos en una asesoría que trabaja con documentación de clientes, una distribuidora que gestiona pedidos desde un servidor o una industria que necesita acceder a su planificación de producción. Un fallo en esos sistemas puede traducirse en horas sin trabajar, retrasos o pérdida de información. La aplicación práctica de esta noticia es revisar cómo se detectan y corrigen los problemas. Si se agiliza la búsqueda de vulnerabilidades, conviene que la empresa tenga claro quién recibe los avisos, quién decide las actuaciones y quién comprueba que se han resuelto.

Para la dirección, esto se concreta en tres preguntas:

• ¿Qué sistemas necesitamos para poder trabajar?
• ¿Quién se ocupa de mantenerlos y revisar su seguridad?
• ¿Cómo recuperaríamos la actividad si alguno dejara de estar disponible?

Qué conviene revisar en la seguridad de tu empresa

Antes de contratar nuevas herramientas, merece la pena comprobar qué protección tienes y dónde faltan medidas. Estas son algunas de las cuestiones que recomendamos abordar.

Equipos, programas y accesos desde el exterior

El primer paso es disponer de una relación actualizada de los equipos, las aplicaciones y los servicios que utiliza la empresa, incluyendo los contratados en la nube. Esa revisión debe permitir localizar programas sin soporte, equipos pendientes de actualizar y conexiones externas que siguen abiertas aunque ya no se necesiten. También conviene comprobar qué proveedores pueden acceder a los sistemas y con qué permisos.

Actualizaciones y corrección de vulnerabilidades

Las actualizaciones necesitan un responsable y un criterio de prioridad. No todos los fallos afectan de la misma manera: importa qué sistema está expuesto, qué información contiene y qué consecuencias tendría una interrupción. Por ejemplo, un problema en un servicio accesible desde internet puede requerir más urgencia que otro en un equipo aislado. Cuando una actualización pueda afectar al funcionamiento de una aplicación, habrá que planificar su instalación y valorar medidas provisionales.

Cuentas de usuario y permisos

Las cuentas compartidas, los accesos de antiguos trabajadores o los permisos excesivos son aspectos que conviene revisar. Cada persona debería disponer de los accesos necesarios para su trabajo, con un procedimiento para modificarlos o retirarlos cuando cambien sus funciones. La verificación en dos pasos añade protección a cuentas como las del correo o el acceso remoto.

Copias de seguridad y recuperación de la actividad

La comprobación de las copias debe incluir una prueba de recuperación. Así se puede verificar qué información se recupera, cuánto se tarda y qué hace falta para volver a trabajar. La dirección también debe conocer qué servicios se restaurarían primero. Recuperar el correo, los pedidos o la facturación puede tener prioridades distintas según la actividad de la empresa.

Comprobaciones ante solicitudes de pagos o información

Una petición de cambio de cuenta bancaria o de envío de documentación merece un procedimiento de verificación, aunque el mensaje parezca correcto. Confirmar una operación sensible por un canal conocido ayuda a que la decisión no dependa únicamente del aspecto del correo. El personal necesita saber qué debe comprobar y a quién consultar cuando tenga dudas.

Cómo saber si necesitas una auditoría de ciberseguridad

Una auditoría de ciberseguridad ayuda a conocer el estado de los sistemas y a decidir qué mejoras deben abordarse primero. Puede resultar especialmente útil si la empresa ha crecido, ha cambiado de proveedor informático, ha incorporado nuevas aplicaciones o lleva tiempo sin revisar su seguridad.

También conviene plantearla cuando nadie puede responder con claridad a preguntas como estas:

• ¿Cuándo se revisaron por última vez los accesos y los permisos?
• ¿Qué equipos o aplicaciones han dejado de recibir actualizaciones?
• ¿Se ha probado la recuperación de las copias?
• ¿Quién coordinaría la respuesta ante un incidente?

El alcance debe ajustarse a la empresa. Una organización con un único centro y servicios en la nube tiene necesidades diferentes a otra con varias sedes, servidores propios y equipos de producción.

El resultado debe ayudar a tomar decisiones: qué problemas se han encontrado, cómo pueden afectar al negocio y qué actuaciones tienen prioridad.

Auditoría, análisis de vulnerabilidades y pentesting: qué aporta cada servicio

Aunque están relacionados, estos servicios responden a preguntas diferentes.

Auditoría de ciberseguridad

Revisa las medidas técnicas y organizativas dentro del alcance acordado. Permite valorar cómo se protegen los sistemas, cómo se gestionan los accesos y qué preparación existe ante un incidente.

Análisis de vulnerabilidades

Busca fallos de seguridad y configuraciones que pueden exponer los equipos o las aplicaciones. Los resultados necesitan revisión para determinar cuáles afectan realmente a la empresa y cómo corregirlos.

Pentesting

Mediante pruebas autorizadas y controladas, comprueba si determinadas debilidades pueden aprovecharse y qué consecuencias tendría hacerlo. Sus límites y condiciones se acuerdan antes de empezar. La elección depende de lo que necesites comprobar. Definir bien ese objetivo permite dedicar el presupuesto a una revisión útil para tu negocio.