Mythos, el modelo que Anthropic se guardó

La mayoría de los modelos de IA se anuncian el mismo día en que cualquiera puede empezar a usarlos. Claude Mythos no. En abril, Anthropic describió un modelo que, según dijo, podía encontrar y explotar fallos de software mejor que cualquier persona salvo las más expertas, y anunció que no lo pondría a disposición general.

Seis meses después, una versión protegida está a la venta para todos, después de que en junio una carta del Gobierno obligara a desconectarla durante casi tres semanas, y la pregunta que planteó sigue abierta: quién decide cuándo un modelo es demasiado capaz para venderlo. Esto es lo que ocurrió y lo que sacamos de ello.

Una filtración y después una advertencia

Su existencia se supo por accidente. El 26 de marzo, Fortune informó de que Anthropic había dejado borradores sin publicar en un almacén de datos en el que cualquiera podía buscar. Uno de ellos describía Mythos como «con diferencia, el modelo de IA más potente que hemos desarrollado nunca» y decía que era caro de ejecutar y que no estaba listo para un lanzamiento general. Anthropic confirmó el trabajo y calificó el modelo de «un salto cualitativo y el más capaz que hemos construido hasta la fecha».

El 7 de abril presentó Claude Mythos Preview junto con Project Glasswing, un programa para usar el modelo en defensa. Entre los socios de lanzamiento estaban Amazon Web Services, Apple, CrowdStrike, Google, JPMorganChase, la Linux Foundation y Microsoft, y otras más de 40 organizaciones que mantienen software crítico recibieron acceso. Anthropic comprometió hasta 100 millones de dólares en créditos de uso; a partir de ahí, los socios pagan 25 dólares por millón de tokens de entrada y 125 dólares por millón de tokens de salida.

Sus ejemplos eran concretos: un fallo de hace 27 años en OpenBSD que permitía a un atacante tumbar una máquina a distancia, un fallo de hace 16 años en FFmpeg y una cadena de fallos del kernel de Linux que llevaba al control total de una máquina. Todos se notificaron y se corrigieron. El motivo para retener el modelo se dijo sin rodeos: «No tenemos previsto poner Claude Mythos Preview a disposición general». Si esas capacidades se extendieran, argumentó Anthropic, las consecuencias para la economía, la seguridad pública y la seguridad nacional podrían ser graves.

Lo que encontraron otros

El AI Security Institute del Reino Unido probó el modelo en menos de una semana. Fue el primer modelo en completar de principio a fin el ataque simulado de 32 pasos del instituto contra una red corporativa, en 3 de 10 intentos, y llegó de media a 22 pasos, cuando el siguiente mejor modelo se quedó en 16. El instituto añadió una salvedad importante: sus redes de prueba no tenían defensores activos, así que «no podemos afirmar con seguridad si Mythos Preview sería capaz de atacar sistemas bien defendidos».

Otros pusieron en duda hasta qué punto esa capacidad es exclusiva. El día del lanzamiento, Stanislav Fort, de la empresa de seguridad AISLE, dio el código vulnerable de los ejemplos de Anthropic a modelos pequeños y baratos. Los ocho encontraron el fallo de FreeBSD que Anthropic había destacado, incluido uno con 3,6 mil millones de parámetros activos, aunque se les entregó directamente la función correcta. Su conclusión: la ventaja está más en el sistema que rodea a un modelo que en un modelo concreto.

Encontrar también ha resultado más fácil que corregir. Anthropic dice que los socios de Glasswing encontraron al menos 129'000 vulnerabilidades verificadas entre abril y julio. En septiembre, Patrick Garrity, de VulnCheck, revisó los 26'153 hallazgos que Anthropic atribuye a su propio escaneo: aproximadamente uno de cada diez había llegado a su registro público de divulgaciones, y menos de uno de cada cien figuraba como corregido. «Las pruebas empiezan a llegar con cuentagotas, solo que no cuadran», escribió.

Fable y un apagón

El 9 de junio, Anthropic lanzó Claude Fable 5, «un modelo de clase Mythos que hemos hecho seguro para el uso general», y Mythos 5 para sus socios de Glasswing. Son el mismo modelo con salvaguardas distintas. En Fable, unos clasificadores independientes vigilan las peticiones sobre ciberataques, biología y química, así como los intentos de copiar el modelo, y se las pasan a un modelo de Claude más antiguo.

Tres días después, el Departamento de Comercio de Estados Unidos escribió a Anthropic que cualquier persona extranjera, dentro o fuera de Estados Unidos e incluido el propio personal de Anthropic, necesitaba ahora una licencia de exportación para usar cualquiera de los dos modelos. Según se informó, investigadores de Amazon habían encontrado la forma de sortear las barreras de Fable. Anthropic no podía comprobar la nacionalidad de cada usuario, así que escribió que debía «desactivar de forma abrupta Fable 5 y Mythos 5 para todos nuestros clientes». Analistas del CSIS cuestionaron la base legal, ya que no se envía nada: los usuarios acceden al modelo en los servidores de Anthropic.

El 30 de junio, Comercio levantó los controles. A cambio, informó Al Jazeera, Anthropic se comprometió a detectar y abordar los riesgos de seguridad, a ayudar a fijar estándares para los modelos futuros y a notificar la actividad maliciosa. Ambos modelos volvieron el 1 de julio. La versión 5.1 llegó el 1 de septiembre, con Mythos 5.1 abierto solo a organizaciones verificadas, por ahora en Estados Unidos. El 6 de octubre, Anthropic integró Glasswing en un Cyber Verification Program más amplio, con tres niveles, y cada candidato al nivel más alto se revisa junto con el Gobierno de Estados Unidos.

Por qué se hizo así

El motivo que da Anthropic es que la capacidad avanzó más deprisa que las salvaguardas. «Los modelos de clase Mythos han alcanzado un umbral en el que presentan riesgos significativos», escribió cuando lanzó Fable, y su respuesta fue una secuencia: primero los defensores, después los clasificadores y, por último, un lanzamiento general protegido. En septiembre, su consejero delegado, Dario Amodei, fue más allá: «Debemos frenar el ritmo al que mejoramos las capacidades de los modelos de IA».

Ya no es el camino de una sola empresa. Cuando OpenAI lanzó GPT-6 Astra en septiembre, fue el primer modelo de OpenAI en alcanzar su propio «umbral crítico de capacidad en ciberseguridad», y llegó a los ciberdefensores antes que a nadie. El acceso escalonado según la confianza se está convirtiendo en la forma habitual de lanzar los modelos más potentes.

Qué significa para una empresa

De ahí se desprenden tres cosas. Los mejores modelos llegan ahora por niveles de confianza, y la versión pública puede pasar algunas preguntas a un modelo más antiguo. Un modelo puede desaparecer de la noche a la mañana por motivos que no tienen nada que ver contigo: el 12 de junio, todos los clientes de Fable se quedaron sin él el mismo día. Y encontrar fallos es ahora la parte barata de la seguridad. Corregirlos es la parte difícil, y por eso el consejo del instituto a las empresas es poco vistoso: actualizaciones a tiempo, controles de acceso sólidos, configuración segura y buenos registros.

Por eso mantenemos el conocimiento de una empresa fuera de cualquier modelo concreto, en Twin, y por eso, para el trabajo crítico, aportamos Eigna: un modelo privado propio de la empresa, construido por nuestro socio Eigna Labs, que se ejecuta en su propia nube o en sus propios servidores y está diseñado para funcionar sin conexión en redes cerradas. No igualará a un modelo de frontera en todas las tareas, y para la mayor parte del trabajo confidencial no le hace falta. Un modelo que funciona en tu propio hardware no desaparece porque un proveedor reciba una carta.