Payward, la empresa matriz del intercambio de criptomonedas Kraken, se unió al Proyecto Glasswing de Anthropic el 17 de agosto y obtuvo acceso restringido a Claude Mythos 5 para trabajo de ciberseguridad defensiva.
Resumen
- Payward se unió al Proyecto Glasswing de Anthropic y obtuvo acceso restringido al modelo Claude Mythos 5.
- La empresa planea escanear todos los entornos de Payward en busca de vulnerabilidades de software en las próximas semanas.
- Payward dice que los hallazgos validados por terceros se compartirán con los mantenedores de proyectos de código abierto relevantes.
- Anthropic limita el acceso a Mythos 5 a organizaciones examinadas porque sus capacidades de ciberseguridad conllevan riesgos de uso indebido.
- El uso de Mythos 5 requiere que los clientes acepten la retención de datos durante treinta días para el monitoreo de seguridad de Anthropic.
La empresa planea utilizar el modelo de inteligencia artificial para escanear sus entornos de software en busca de vulnerabilidades en las próximas semanas. Los hallazgos entrarán en el proceso de revisión de seguridad existente de Payward en lugar de producir automáticamente cambios de software.
Payward también dijo que tiene la intención de divulgar vulnerabilidades validadas que afecten a proyectos de código abierto de terceros a sus mantenedores. La empresa no identificó sus primeros objetivos de escaneo, publicó un cronograma de implementación ni reveló el costo de su acceso a Mythos 5.
Payward escaneará sus entornos de software
Payward dijo que Claude Mythos 5 examinará todos los entornos de la empresa en busca de debilidades de software. Su infraestructura soporta servicios de comercio, custodia y liquidación de activos digitales que permanecen disponibles continuamente.
El anuncio no especifica si Mythos 5 recibirá acceso a sistemas de producción, copias aisladas del código fuente o entornos de prueba controlados. Payward tampoco describió cómo su equipo de seguridad validará los hallazgos antes de aprobar las correcciones.
Los falsos positivos siguen siendo una preocupación práctica cuando los sistemas de inteligencia artificial revisan software complejo. Un modelo puede identificar código inalcanzable, duplicar un informe existente o malinterpretar cómo funciona un componente en producción. Por lo tanto, se requiere revisión humana antes de que los equipos clasifiquen un problema como vulnerabilidad.
La Fundación Ethereum llegó a una conclusión similar al probar agentes de seguridad de IA. Como informó crypto.news, sus investigadores encontraron que los informes de vulnerabilidades generados por IA aún requerían validación humana independiente, particularmente cuando los agentes examinaban código de protocolo complejo.
El co-director ejecutivo de Payward, Arjun Sethi, dijo que la IA podría cambiar el desequilibrio entre atacantes y defensores al leer código a mayor escala.
“Un modelo puede leer cada línea de código como lo haría un atacante, a escala de máquina, por lo que encontramos la falla antes de que alguien pueda construir el exploit”, dijo Sethi.
La declaración describe la ventaja defensiva prevista de Payward. La empresa aún no ha publicado resultados que muestren cuántas fallas válidas encontró Mythos 5 dentro de sus sistemas.
El Proyecto Glasswing restringe el acceso a socios examinados
Anthropic lanzó el Proyecto Glasswing en abril de 2026 para dar a proveedores de infraestructura y mantenedores de software seleccionados acceso temprano a sus modelos de ciberseguridad más fuertes.
Los participantes iniciales incluyeron Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks y la Fundación Linux. Anthropic luego expandió la iniciativa a aproximadamente 150 organizaciones en más de 15 países.
La empresa afirma que las organizaciones participantes deben cumplir con los requisitos de seguridad antes de recibir acceso. Mythos 5 no está disponible de forma general porque las mismas capacidades utilizadas para identificar vulnerabilidades también pueden ayudar a producir exploits funcionales.
Como se informó anteriormente, Anthropic restauró el acceso a Mythos solo para organizaciones estadounidenses verificadas después de que el gobierno de EE. UU. levantara las restricciones temporales de exportación. El modelo protegido Claude Fable 5 volvió a estar disponible de manera más amplia.
Payward dijo que su acceso siguió a la decisión de EE. UU. que permite que Mythos 5 llegue a organizaciones que operan y defienden infraestructura crítica. La página oficial del modelo de Anthropic confirma que el acceso fue restaurado para un conjunto de organizaciones estadounidenses tras la aprobación del gobierno.
Ni Anthropic ni el gobierno de EE. UU. han designado públicamente cada plataforma de activos digitales como infraestructura crítica. La declaración de Payward de que tales plataformas "pertenecen a esa lista" representa la posición de la empresa, no una clasificación gubernamental formal.
Claude Mythos 5 conlleva riesgos defensivos y ofensivos
Anthropic describe a Claude Mythos 5 como su modelo más capaz para la investigación en ciberseguridad y biología. El modelo puede inspeccionar código, identificar debilidades, sugerir parches y ayudar a investigadores aprobados a probar rutas de explotación.
El Mythos Preview anterior de Project Glasswing supuestamente encontró más de 10,000 fallas clasificadas como de gravedad alta o crítica en software ampliamente utilizado. El panel de divulgación coordinada de Anthropic mostró 1,596 vulnerabilidades reportadas en 281 proyectos de código abierto al 22 de mayo.
Esas cifras son mediciones de Anthropic y no significan que cada hallazgo inicial del modelo fuera válido. Su panel registró una tasa de verdaderos positivos del 90.8% entre 1,900 candidatos revisados por firmas de seguridad externas.
Anthropic dijo que el triaje humano independiente sigue siendo la etapa limitante. Solo 97 hallazgos listados habían sido parcheados en el flujo ascendente al momento de la actualización del panel, mientras que 88 habían recibido un identificador de aviso público.
El modelo también puede crear componentes de exploits y combinarlos en cadenas de ataque. Anthropic citó esta capacidad de doble uso al explicar por qué Mythos 5 sigue limitado a socios aprobados.
En cobertura relacionada, los investigadores encontraron que los modelos de clase Mythos podían convertir fallas de software en cadenas de exploits funcionales. Un acceso más amplio daría a los atacantes algunas de las mismas capacidades disponibles para los defensores.
Los hallazgos de código abierto irán a los mantenedores
Payward dijo que las vulnerabilidades descubiertas en código de terceros compartido se enviarán a los mantenedores de proyectos relevantes. Presentó ese proceso como una forma de proteger a otras organizaciones que utilizan el mismo software.
La empresa no publicó una política de divulgación coordinada para la iniciativa. Los detalles importantes sin respuesta incluyen cuánto tiempo tendrán los mantenedores para parchear las fallas, qué hallazgos puede divulgar Payward públicamente y cómo manejará los proyectos que no respondan.
Payward ha enfrentado previamente disputas sobre investigación de seguridad. Como informó crypto.news, Kraken parcheó una falla de depósito que los investigadores usaron para retirar casi $3 millones. El intercambio recuperó los fondos después de un desacuerdo público con CertiK.
Ese episodio no estuvo relacionado con Project Glasswing, pero muestra por qué las reglas claras de prueba y divulgación importan. El escaneo con IA puede aumentar el número de hallazgos reportados, creando trabajo adicional para los equipos de seguridad y los mantenedores.
Qué sigue para el despliegue de seguridad de IA de Payward
Payward planea comenzar a escanear sus entornos dentro de semanas. Las próximas actualizaciones verificables incluirían vulnerabilidades confirmadas, parches completados o divulgaciones públicas coordinadas con proyectos de código abierto afectados.
No se anunciaron objetivos de rendimiento. Payward no dijo con qué frecuencia Mythos 5 escaneará sus sistemas ni si el modelo revisará código nuevo antes del despliegue.
Anthropic requiere que los clientes de Mythos 5 acepten una retención de datos de treinta días para el monitoreo de seguridad. Payward no ha explicado qué código o información del sistema se enviará, cómo se separarán los datos sensibles o si la información del cliente queda fuera del proceso de escaneo.
Por ahora, el desarrollo confirmado es la admisión de Payward al Proyecto Glasswing y el uso planificado de Claude Mythos 5. Si el modelo mejora la seguridad de la empresa dependerá de la calidad de sus hallazgos, la verificación humana y la velocidad de los parches posteriores.
