Axios adelantó que OpenAI está construyendo un producto de ciberseguridad. La noticia importa por a quién persigue. Anthropic ya tiene el suyo, Mythos, un modelo tan capaz encontrando fallos de software que la propia empresa decidió no abrirlo al público. Los dos grandes laboratorios de Estados Unidos están montando herramientas de ciberseguridad, y lo hacen con filosofías opuestas sobre quién debería tocarlas.
Puntos clave
- El modelo de OpenAI se reparte por un programa llamado Trusted Access for Cyber, con acceso por niveles de verificación. Arrancó como piloto en febrero de 2026 y se amplió a 'miles de defensores verificados' desde mayo.
- La versión GPT-5.5-Cyber saca 85,6% en CyberGym, un benchmark de ciberseguridad. En las pruebas queda muy cerca de Mythos, con el modelo de Anthropic un pelo por delante.
- Mythos, de Anthropic, encontró 181 exploits funcionales en el navegador Firefox 147, frente a los 2 de la generación anterior (Opus 4.6). También destapó un fallo de OpenBSD que llevaba 27 años sin detectarse.
- Anthropic limita el acceso a Mythos a unas 40 organizaciones mediante 'Project Glasswing'. OpenAI reparte el suyo de forma más abierta, con una versión con guardarraíles y otra con menos salvaguardas bajo solicitud.
Dos filosofías sobre la misma bomba
Un modelo que encuentra vulnerabilidades de software no distingue entre atacar y defender. El mismo sistema que localiza un fallo para parchearlo sirve para explotarlo. Por eso el debate no es técnico, es de reparto: ¿a quién le das la llave?
Anthropic eligió el cerrojo. Mythos se presentó el 7 de abril y la empresa decidió no liberarlo. Lo dejó en manos de un puñado de socios bajo Project Glasswing. Los números explican el miedo. Además de los 181 exploits en Firefox, el modelo generó 595 crashes de severidad alta sobre proyectos de código abierto y explotó por su cuenta un fallo de FreeBSD que llevaba 17 años ahí (registrado como CVE-2026-4747). Cuando validadores humanos revisaron su trabajo, coincidieron con la evaluación del propio modelo en el 89% de 198 casos.
OpenAI va por el carril contrario. Su apuesta es distribuir, no guardar. El programa Trusted Access for Cyber verifica a quién da acceso, pero el objetivo declarado es poner la herramienta en manos de defensores: empresas, equipos de seguridad, bancos. En junio ofreció GPT-5.5-Cyber a nueve grandes bancos del Reino Unido. La tesis es que, si estas capacidades van a existir igualmente, mejor que las tengan los que defienden antes de que las repliquen los que atacan.
Quién va ganando
En capacidad pura están empatados. GPT-5.5-Cyber marca 85,6% en CyberGym y las pruebas lo sitúan casi a la altura de Mythos, con Anthropic ligeramente arriba. La diferencia de verdad no está en el benchmark, está en la distribución. Anthropic tiene el modelo más temido y casi nadie puede tocarlo. OpenAI tiene uno casi igual de bueno y lo está repartiendo. En ciberseguridad, una herramienta que nadie usa no defiende nada, así que el reparto puede pesar más que los dos puntos de diferencia en la tabla.
Detrás hay un dato que ordena la escala del problema. La suite Codex Security de OpenAI identificó más de 3.000 vulnerabilidades críticas o altas en pruebas internas. Encontrar fallos ha dejado de ser un cuello de botella. La pregunta ahora es qué se hace con la lista y quién la tiene.
Por qué importa para tu empresa
No vas a comprar GPT-5.5-Cyber ni Mythos. Ninguno se vende a una pyme y no los necesitas. Lo que sí te toca es el efecto de segundo orden: encontrar fallos de software se está volviendo barato y automático. El mismo modelo que destapa un bug de 27 años lo destapa en tu web, tu tienda o tu API si alguien lo apunta ahí.
La lectura práctica es aburrida, y por eso funciona. La higiene básica deja de ser opcional: actualizar dependencias, parchear rápido, no dejar servidores viejos colgando. La ventana entre que se descubre un fallo y alguien lo explota se acorta cuando la parte de descubrir la hace una máquina a escala. Por el lado bueno, los proveedores de los que dependes (tu banco, tu cloud, tu pasarela de pago) van a empezar a usar estas herramientas para defenderse. La pelea entre OpenAI y Anthropic por quién reparte el arma acaba definiendo lo segura que es la infraestructura sobre la que corre tu negocio, la uses tú directamente o no.
Relacionado
