Anthropic abre acceso por niveles a sus modelos para equipos de ciberseguridad tras hallar 129 mil fallas

Anthropic presentó el 7 de octubre una versión ampliada de su Cyber Verification Program, que integra el programa previo y Project Glasswing en un esquema de tres niveles de acceso a sus modelos de IA para profesionales de ciberseguridad verificados. La empresa informó que sus socios de Glasswing detectaron 129 mil vulnerabilidades verificadas entre abril y julio, de las cuales más de 33 mil son de severidad crítica o alta.

Los tres niveles

• Defense Access: para centros de operaciones de seguridad, respuesta a incidentes, análisis de malware y pruebas de vulnerabilidades. Pueden solicitarlo equipos que protegen sus propios sistemas, operadores de infraestructura crítica, firmas pequeñas, mantenedores de código abierto e investigadores con historial de divulgación. La respuesta tarda unos días.
• Red Team Access: añade pruebas de penetración autorizadas sobre sistemas con permiso. Solo para organizaciones, con bloqueos en tiempo real ante acciones que puedan causar daño físico o disrupción masiva. La revisión toma algunas semanas.
• Specialized Access: restricciones mínimas para probar infraestructura crítica como redes eléctricas, sistemas de vuelo, telecomunicaciones y transferencias interbancarias. La evaluación se hace en colaboración con el gobierno de Estados Unidos.

Cifras y alcance

Además de lo reportado por los socios, los escaneos propios de Anthropic en código abierto sumaron 5,500 vulnerabilidades adicionales hasta octubre. La empresa estima que el impacto real es al menos cinco veces mayor que lo contabilizado. En sus pruebas internas, las salvaguardas de Claude Opus 5.5 bloquearon 46 de 50 tareas en el nivel defensivo. También precisó que, de 300 vulnerabilidades atribuidas a su trabajo, solo dos se han explotado activamente.

Todos los niveles dan acceso a Claude Opus 5.5, Sonnet 5.5, Mythos 5.1 y modelos futuros, mediante Claude Platform, Google Cloud Vertex AI y Microsoft Foundry; en Amazon Bedrock el acceso se limita a ciertos clientes empresariales.

Qué significa para empresas

El programa confirma que los modelos de IA ya son una herramienta de primera línea para encontrar y corregir fallas a gran escala, y que los proveedores condicionan las capacidades más sensibles a la verificación del usuario. Para áreas de seguridad, auditoría de TI y despachos de consultoría en México, abre la posibilidad de acelerar pruebas y respuesta a incidentes, pero también exige documentar autorizaciones, alcance de las pruebas y controles internos para calificar.