La era de los agentes llegó antes de tiempo: no se deje sorprender

Aunque estos cambios sísmicos en el desarrollo de software y la seguridad parecen ser algo habitual en 2026, la llegada del modelo de codificación por IA más reciente de Anthropic, calificado como el "más peligroso" hasta la fecha, Claude Mythos, representa un cambio fundamental y permanente en la forma en que todo líder de seguridad debe abordar su programa de seguridad, especialmente en lo que respecta a la gestión de parches en sistemas heredados.

La mayoría de las empresas aún están asimilando la transición del código escrito por humanos al desarrollo asistido por IA, implementando nuevos procesos, aprendiendo a revisar lo que generan sus copilotos de IA, desarrollando nuevas habilidades y estableciendo nuevas salvaguardas para un uso empresarial adecuado.

Pero la siguiente fase de la creación de software impulsada por IA no esperó.

Esta semana, Anthropic publicó una evaluación técnica detallada de Claude Mythos Preview, un nuevo modelo de IA de vanguardia con una capacidad que debería dejar paralizado a cualquier líder de seguridad e ingeniería. Es capaz de identificar y explotar de forma autónoma vulnerabilidades de día cero en todos los sistemas operativos y navegadores principales, sin intervención humana tras una instrucción inicial. Ingenieros sin formación formal en seguridad dirigieron el modelo durante la noche y despertaron con exploits completos y funcionales.

Estos hallazgos son alarmantes y no son teóricos. Mythos Preview encontró una vulnerabilidad de hace 27 años en OpenBSD, uno de los sistemas operativos más seguros del mundo, que permitía a un atacante bloquear remotamente cualquier máquina simplemente conectándose a ella. Descubrió un fallo de hace 16 años en FFmpeg que las herramientas de prueba automatizadas habían detectado cinco millones de veces sin éxito. Encadenó múltiples vulnerabilidades del kernel de Linux de forma autónoma para obtener el control total de la máquina. Estos descubrimientos no fueron asistidos por humanos; ningún profesional real guio el proceso después de la instrucción inicial.

En respuesta, Anthropic anunció el Proyecto Glasswing, una coalición intersectorial que reúne a AWS, Microsoft, Google, Cisco, CrowdStrike, Palo Alto Networks, JPMorgan Chase, NVIDIA, Apple, Broadcom y la Linux Foundation. La conclusión compartida por todos ellos es clara: los enfoques tradicionales para asegurar el software ya no son suficientes y es momento de actuar. Como señaló el CTO de CrowdStrike, el margen de tiempo entre el descubrimiento de una vulnerabilidad y su explotación se ha reducido; lo que antes tomaba meses, ahora ocurre en minutos.

Los tres problemas se han vuelto más difíciles

En cada etapa de la transición al desarrollo con IA, las empresas enfrentan los mismos tres desafíos. Mythos Preview agudiza los tres a la vez, a una velocidad nunca antes vista.

Aprender a desarrollar de forma segura se vuelve más difícil cuando la IA puede generar y modificar código más rápido de lo que los equipos pueden revisarlo. Las habilidades necesarias para gobernar el código generado por IA difieren de las requeridas para escribir código manualmente, y esas habilidades deben evolucionar al ritmo de las herramientas.

Gobernar lo que la IA puede y no puede tocar se vuelve crítico cuando los agentes autónomos escriben y revisan código sin intervención humana. Por lo general, seguimos planteando la pregunta equivocada. Ya no es tanto "¿qué construyeron nuestros desarrolladores?", sino "¿qué construyó nuestra IA y tenía permiso para hacerlo?"

Rastrear qué IA hizo qué, dónde y para quién es ahora un imperativo de cumplimiento y respuesta a incidentes. Cuando algo sale mal en una canalización de agentes, las organizaciones deben responder a esa pregunta de inmediato. La mayoría no puede.

Como profesionales, predijimos hace mucho tiempo que esta tecnología podría ser aprovechada por actores malintencionados, potenciando eficazmente sus capacidades de ataque. Ya sabemos que los ciberdelincuentes tienen una clara ventaja ofensiva sobre la mayoría de los equipos de seguridad empresarial, y una herramienta como Mythos agiliza aún más sus procesos nefastos.

Estamos en la era de los ciberataques democratizados, donde el nivel de destrucción que antes solo podían lograr actores de élite puede ser ejecutado por un novato. No debería sorprendernos, pero muchos siguen estando muy poco preparados. La aplicación rápida y priorizada de parches es imprescindible, pero esta gestión solo es tan efectiva como la trazabilidad de cada herramienta y dependencia en uso.

Este es un problema a nivel industrial

Lo que hace que el Proyecto Glasswing sea significativo no se determina únicamente por las capacidades que reveló Mythos Preview; es la escala y la potencia de la respuesta. Una coalición que abarca proveedores de nube, empresas de seguridad, instituciones financieras y fundaciones de código abierto está alineada en la misma conclusión, y es una narrativa familiar que habla directamente del espíritu de SCW. La gobernanza de software mediante IA nunca ha sido una característica opcional o "agradable de tener". Es la capa faltante que toda organización que escala el desarrollo impulsado por IA necesita antes del próximo incidente. Aquellos que se aferren a un manual de estrategias reactivo y obsoleto serán superados de la peor manera posible.

Habilitación, no restricción

La tentación al leer hallazgos como estos es pisar el freno, ralentizar la adopción de la IA, restringir las herramientas y endurecer los controles. Esa es la respuesta equivocada, y tampoco es lo que recomiendan los socios de Glasswing.

Las organizaciones que superen esta transición con éxito serán aquellas que adopten el desarrollo impulsado por IA con una gobernanza establecida desde el principio. Esto implica formar a los desarrolladores a medida que evolucionan las herramientas, establecer límites sobre a qué pueden acceder los agentes de IA en sus repositorios y, fundamentalmente, crear la trazabilidad que sus equipos de cumplimiento y respuesta a incidentes exigirán, sin consumir millones de tokens para lograrlo.

El momento de actuar es ahora

El consejo de Anthropic para los defensores es claro: comiencen con las herramientas disponibles hoy. No esperen al próximo modelo. El valor de establecer sus procesos, estructuras y marcos de gobernanza se multiplica rápidamente.

Secure Code Warrior se sitúa en el centro de los tres problemas empresariales que genera la era de los agentes. Si su organización está escalando el desarrollo impulsado por IA, la pregunta no es si necesita gobernanza de software de IA, sino si ya la tiene.

Lo que esto significa para usted

Para los CISO

Sus políticas de divulgación de vulnerabilidades, ciclos de parches y manuales de respuesta a incidentes fueron diseñados para un mundo donde el desarrollo de exploits tomaba semanas. Ese mundo ya no existe. Es hora de establecer visibilidad de gobernanza de IA en todo su entorno de desarrollo, comprendiendo contextualmente qué agentes de IA interactúan con su código, qué producen y si cumplen con su umbral de riesgo. Si no puede responder a esto hoy, esa es la brecha que debe cerrar primero.

Para los CTO

Sus equipos de ingeniería ya están usando IA para entregar software más rápido. La pregunta ahora es si cuenta con los límites necesarios para hacerlo de forma segura y a escala. Gobernar a qué pueden acceder los agentes de IA en sus repositorios y mantener la trazabilidad de sus contribuciones es ahora una decisión de arquitectura técnica, no solo una consideración de seguridad aislada. Las organizaciones que construyan esta base ahora serán las que escalen el desarrollo con IA con confianza.

Para los líderes de ingeniería

A sus desarrolladores se les pide que avancen más rápido con herramientas de IA que no diseñaron y que no pueden predecir por completo. Las habilidades necesarias para revisar código generado por IA son distintas a las de escribir código manualmente, y la mayoría de los equipos aún no han tenido la oportunidad de desarrollarlas. Cerrar esa brecha de capacidad es lo que hace que la adopción de la IA sea más segura y sostenible.

Para los CEO y juntas directivas

El proyecto Glasswing puede ser noticia de portada, pero también es una señal que no podemos ignorar. Cuando AWS, Microsoft, Google, Cisco, CrowdStrike y JPMorganChase se alinean en una respuesta coordinada ante un riesgo de seguridad impulsado por IA, y Anthropic compromete 100 millones de dólares para abordarlo, el mercado le está enviando un mensaje. El desarrollo de software con IA acelera la velocidad a la que se encuentran y explotan las vulnerabilidades. La gobernanza de ese proceso es ahora un riesgo a nivel de junta directiva. Las organizaciones que lo traten como tal desde el principio estarán mejor posicionadas para escalar el desarrollo con IA y demostrar a reguladores, clientes e inversores que lo hacen de forma responsable.