Un modelo de Anthropic completa un ataque autónomo contra una red real, pero un asistente barato logra empatarlo
Una evaluación de 18 modelos de inteligencia artificial ha puesto en duda la forma habitual de medir sus capacidades en ciberseguridad. Claude Mythos, de Anthropic, obtuvo 80 puntos sobre 100 y fue el único sistema que completó en todos los intentos una cadena de ataque completa contra una red corporativa con defensa activa.
Sin embargo, el resultado más relevante no está en la primera posición del ranking. Claude Sonnet 5, que sin ayuda apenas alcanzó 13 puntos, llegó también a 80 cuando se conectó a un harness especializado. Esta herramienta de apoyo enlaza el modelo con utilidades de seguridad informática y le permite mantener el objetivo durante una operación compleja.
Una prueba contra una red corporativa, no un examen teórico
El estudio, elaborado por Booz Allen Hamilton bajo el nombre Cyber Weapon Index, enfrentó a nueve modelos estadounidenses y nueve chinos en un entorno diseñado para aproximarse a una intrusión real. Cada sistema operó desde su propia máquina atacante y emitió comandos de uno en uno.
Los modelos no contaban con un menú de herramientas preparado ni con un operador humano que corrigiera sus decisiones. Tampoco disponían de software adicional para organizar el ataque. El objetivo era medir qué podían hacer por sí solos frente a una red protegida.
La evaluación combinó dos áreas. La primera fue el análisis binario, que consiste en buscar vulnerabilidades en programas compilados cuando no se dispone de su código fuente. La segunda fue una intrusión contra una infraestructura basada en Active Directory, la tecnología utilizada para gestionar usuarios, equipos y permisos en muchas redes corporativas.
La puntuación se calculó a partir de los registros de actividad de la red. Es decir, solo se contabilizaron las acciones que el entorno demostró que se habían ejecutado, no las afirmaciones del propio modelo sobre lo que supuestamente había conseguido.
Mythos lidera, pero el soporte técnico cambia el resultado
Claude Mythos alcanzó 80 puntos y fue el único modelo capaz de completar de forma consistente la secuencia desde el acceso inicial hasta el control total del dominio. Detrás quedaron Grok-4.5, con 49 puntos, y GPT-5.6 Sol, con 46.
Muse Spark 1.1 y Kimi K3 empataron a 38 puntos, mientras que GLM-5.2 logró 37 y Claude Opus 4.8 obtuvo 36. En el extremo inferior se situó Qwen3-Coder, de Alibaba, con solo cuatro puntos.
El ranking cambia al añadir un harness de ataque. En este contexto, el término no se refiere a un nuevo modelo, sino a una capa de software que le proporciona herramientas, conserva información entre pasos y le ayuda a seguir una estrategia. Sonnet 5 pasó de 13 a 80 puntos, igualando el resultado de Mythos sin asistencia.
La conclusión es significativa: la diferencia entre el modelo situado en primer lugar y otro que aparece en el puesto 15 puede deberse menos a su inteligencia básica que a la ingeniería que lo rodea. En sistemas autónomos, la conexión con herramientas y la gestión de la tarea forman parte esencial de la capacidad ofensiva.
El origen del modelo no marca una diferencia clara
Tres modelos, además de Mythos, llegaron a tomar el control total del dominio. Otros cuatro consiguieron desplazarse lateralmente por la red, una técnica que permite pasar de un equipo comprometido a otros sistemas internos.
Todos los modelos salvo uno lograron algún tipo de acceso sin asistencia humana. Los resultados tampoco mostraron una diferencia sustancial entre los sistemas estadounidenses y chinos. El hallazgo complica las lecturas geopolíticas que asumen que el origen del modelo permite anticipar por sí solo su peligrosidad.
La brecha apareció en otro punto: las vulnerabilidades reales y desconocidas. Cuando el entorno contenía fallos introducidos de forma explícita para la prueba, los modelos más avanzados se acercaban al máximo. En cambio, ante una vulnerabilidad genuina no vista previamente en código de producción, todos obtuvieron cero salvo Mythos, que logró identificarla y explotarla.
Las salvaguardas dependen de la configuración
El informe también destaca el comportamiento de dos variantes de un mismo modelo. Una rechazó completar una tarea porque no tenía credenciales suficientes. Su versión ajustada para ciberseguridad sí realizó la operación ante el mismo escenario.
Este caso sugiere que las salvaguardas no son una propiedad fija del modelo. Dependen de la configuración, del entrenamiento adicional, del contexto y de las herramientas disponibles. Por eso, que un sistema rechace una petición en una aplicación no permite predecir con seguridad cómo actuará en otra.
El riesgo se amplía cuando la inteligencia artificial puede interactuar con servicios externos. Un agente puede recibir instrucciones aparentemente inocuas, como resumir una página web, y acabar utilizando contenido manipulado para ejecutar acciones no autorizadas. La superficie de ataque se sitúa, en buena medida, entre el modelo y las herramientas a las que tiene acceso.
Un resultado relevante, aunque no definitivo
La evaluación incluye un conflicto de intereses: Booz Allen presentó al mismo tiempo Vellox Labs Guile, un producto destinado a interrumpir ataques autónomos. Esta circunstancia obliga a interpretar con cautela sus recomendaciones comerciales, aunque no invalida por sí sola la metodología empleada.
La previsión más llamativa del informe es que la mayoría de los 18 modelos podría alcanzar el nivel de Mythos en un plazo de seis meses. Si se cumple, los rankings basados únicamente en el modelo perderán todavía más valor frente a pruebas que midan el sistema completo: modelo, herramientas, permisos y entorno.
La cuestión que queda abierta es qué ocurriría al equipar Mythos con un harness diseñado específicamente para sus capacidades. La prueba demuestra que un modelo menos destacado puede igualar a otro más potente cuando recibe el soporte adecuado, pero no determina cuál sería el techo de rendimiento al combinar ambos elementos.
El principal aprendizaje, por tanto, no es solo que Claude Mythos encabece la clasificación. Es que el riesgo de la inteligencia artificial ofensiva ya no puede medirse observando únicamente el nombre o la puntuación de un modelo. La configuración operativa y el acceso a herramientas pueden ser tan decisivos como el sistema de IA que hay detrás.
