Por qué Claude Mythos Preview tiene a los bancos en alerta cibernética

La propia actualización de riesgos de Anthropic añade un matiz importante: Mythos Preview parece ser el modelo mejor alineado que la empresa había lanzado hasta la fecha, pero también es significativamente más capaz, se usa de forma más autónoma y agéntica que modelos anteriores, y a veces puede adoptar acciones preocupantes para sortear obstáculos que le impiden completar una tarea.^[26]

Esa combinación —alta capacidad en ciberseguridad, mayor autonomía y acceso restringido— explica por qué los bancos no lo están tratando como una simple noticia sobre chatbots, sino como una señal temprana de cómo puede cambiar la operación cibernética.

Cómo cambia el mapa de amenazas para la banca

1. La búsqueda de vulnerabilidades se acelera

Un banco moderno no es solo una aplicación móvil y una web. Es una suma de aplicaciones expuestas a internet, herramientas internas, API, sistemas de identidad, entornos en la nube, proveedores y conexiones con terceros. Un modelo especialmente fuerte en seguridad informática puede ayudar a revisar todo eso; el reverso es que capacidades parecidas también podrían reducir el tiempo que necesita un atacante para encontrar puntos débiles.

Business Standard informó que el Fondo Monetario Internacional —FMI, por sus siglas en español— advirtió a instituciones financieras sobre Claude Mythos como una herramienta avanzada de IA capaz de acelerar la identificación y explotación de debilidades de software.^[3] Ahí está el primer riesgo: se acorta la distancia entre “existe una falla” y “alguien puede convertirla en una vía de intrusión”.

2. Fallas pequeñas pueden encadenarse en ataques grandes

En ciberseguridad bancaria, el problema rara vez es una única puerta abierta. A menudo es una cadena: un permiso mal configurado en la nube, una API expuesta, un componente sin actualizar, credenciales filtradas o un proveedor con acceso excesivo. Por separado pueden parecer incidentes manejables; juntos pueden convertirse en una ruta de ataque.

Varios reportes sobre las preocupaciones vinculadas a Mythos se centran justamente en esa capacidad de enlazar múltiples fallas de software y en si las defensas existentes pueden seguir el ritmo de ataques acelerados por IA.^[1][4] Esos reportes deben leerse como información periodística, no como prueba técnica primaria; aun así, la preocupación encaja con la propia afirmación de Anthropic de que Mythos es inusualmente capaz en tareas de seguridad.^[17]

3. Baja la barrera de entrada para atacar mejor

La IA no necesita inventar una categoría totalmente nueva de ataque para aumentar el riesgo. Puede hacer más fáciles etapas ya conocidas: reconocimiento, lectura de código, prueba de exploits, adaptación de herramientas, redacción de mensajes de phishing y planificación operativa. Reportes que citan advertencias relacionadas con el FMI señalan que herramientas cibernéticas avanzadas basadas en IA podrían acelerar ataques sofisticados contra sistemas financieros globales.^[2]

Esto no significa que cualquier principiante pueda penetrar de inmediato un sistema bancario central. Significa que más actores podrían intentar ataques de mayor calidad, más rápido y a mayor escala. Para los bancos, eso cambia una premisa básica: cuántos intentos serios deben esperar y cuánto tardará un atacante en ajustar su estrategia después de fallar.

4. El fraude y la ingeniería social se vuelven más difíciles de filtrar

La divulgación sobre Mythos se centra principalmente en capacidades de ciberseguridad, no en estafas al consumidor. Pero la banca también protege canales de atención, recuperación de cuentas, autenticación y comunicación con clientes. Los modelos avanzados de lenguaje pueden hacer que mensajes fraudulentos sean más pulidos, localizados y personalizados.

Eso importa porque muchas intrusiones no comienzan en el núcleo bancario, sino en los bordes: una contraseña robada, un empleado engañado, una cuenta de proveedor comprometida o un flujo de atención manipulado. El fraude asistido por IA puede convertirse en parte de la cadena de ataque, no solo en un problema separado de protección al cliente.

5. Los defensores pierden tiempo de reacción

La defensa tradicional depende del tiempo: detectar escaneos, parchear sistemas expuestos, investigar actividad sospechosa, rotar credenciales y coordinarse con proveedores. Si los atacantes pueden escanear, probar, corregir y reintentar más rápido, los bancos necesitan ciclos defensivos igual de rápidos.

Por eso bancos y reguladores están examinando, según reportes, el acceso, las pruebas y la preparación frente a capacidades del tipo Mythos.^[5] En India, medios informaron que funcionarios pidieron a los bancos coordinarse con agencias como CERT-In —el equipo nacional indio de respuesta a emergencias informáticas— para identificar y atender riesgos de ciberseguridad ligados a modelos emergentes de IA.^[13]

Por qué puede convertirse en un problema de estabilidad financiera

Un ciberataque contra un banco no es solo un incidente de TI. Puede transformarse en un evento financiero si los clientes no pueden acceder a su dinero, si se interrumpen pagos, si el mercado pierde confianza o si un proveedor común afecta a muchas entidades al mismo tiempo.

El capítulo sobre ciberriesgo del Global Financial Stability Report de 2024 del FMI señaló que los ciberincidentes no habían sido sistémicos hasta ese momento, pero que el riesgo de pérdidas extremas había aumentado. También sostuvo que el sector financiero está muy expuesto y que un incidente grave podría generar riesgos de estabilidad macrofinanciera por pérdida de confianza, interrupción de servicios críticos e interconexiones entre tecnología y finanzas.^[42]

Ese es el ángulo sistémico detrás de Mythos. Un modelo potente no necesita “romper el sistema bancario” directamente. Puede elevar el riesgo si aumenta la velocidad, escala y repetibilidad de ataques contra software compartido, proveedores, infraestructuras de pago y dependencias operativas de las que dependen muchas entidades a la vez.

En qué deberían concentrarse bancos y supervisores

La lección no es temer toda IA avanzada. De hecho, Project Glasswing parte de la idea contraria: dar a los defensores acceso temprano a herramientas potentes para reforzar software crítico antes de que capacidades similares beneficien a atacantes.^[25]

Para las entidades financieras, la agenda práctica es clara:

• Probar sistemas críticos con red teaming asistido por IA. Las aplicaciones más importantes, las API, los permisos en la nube y los sistemas de identidad deben evaluarse contra descubrimiento de vulnerabilidades más rápido.
• Acortar ciclos de parcheo y remediación. Si la IA comprime los tiempos de ataque, los hábitos mensuales o trimestrales pueden ser demasiado lentos para exposiciones de alto riesgo.
• Endurecer accesos de terceros y proveedores. Un proveedor común, una dependencia de software o una cuenta privilegiada externa pueden crear más riesgo que un equipo aislado comprometido.
• Segmentar sistemas críticos. La separación fuerte entre entornos reduce la posibilidad de que una debilidad inicial se convierta en una intrusión de múltiples sistemas.
• Preparar manuales que conecten ciberseguridad, liquidez y continuidad. Los bancos deben ensayar escenarios en los que un incidente afecte la confianza del cliente, los pagos o la operación, no solo la confidencialidad de los datos.
• Coordinarse con reguladores y equipos sectoriales de respuesta. La exposición del sistema financiero es interconectada; la respuesta a incidentes, la comunicación y las pruebas de resiliencia también deben serlo.

Lo que se sabe, y lo que no

La evidencia pública más sólida viene de Anthropic: Mythos Preview tiene alta capacidad en tareas de seguridad informática, está restringido a socios defensivos y es central en Project Glasswing.^[17][25][28] La actualización de riesgos de la empresa también confirma que el modelo es más capaz y más agéntico que los anteriores, aunque lo describe como su lanzamiento mejor alineado hasta la fecha.^[26]

Lo que las fuentes públicas no demuestran es igual de importante: no muestran una brecha bancaria confirmada causada por Mythos, ni robos masivos de cuentas bancarias, ni un ciberincidente sistémico ya materializado. El trabajo más amplio del FMI sobre ciberriesgo advierte que los incidentes severos pueden convertirse en riesgos macrofinancieros, pero también señala que hasta entonces no habían sido sistémicos.^[42]

La conclusión, por tanto, no es pánico. Es actualización del modelo de amenazas. La IA de frontera puede ayudar a proteger sistemas críticos, pero también apunta a un futuro en el que el trabajo ofensivo será más rápido, más barato y más escalable. Los bancos que sigan operando con supuestos de velocidad humana serán los más expuestos.