Mythos, de Anthropic, redefine el enfoque de Firefox en materia de ciberseguridad

Cuando Anthropic presentó su modelo Mythos en abril, la empresa también lanzó una severa advertencia a los desarrolladores de software. Según el laboratorio, el modelo demostró ser tan eficaz a la hora de identificar vulnerabilidades de software que detectó miles de errores de alta gravedad que tuvieron que ser corregidos antes de que el modelo pudiera hacerse público.

Ahora, los investigadores de seguridad que trabajan en el navegador Firefox de Mozilla ofrecen una visión detallada de cómo se ha desarrollado ese proceso en la práctica y de lo que las capacidades de Mythos significan para la seguridad del software en general.

En una publicación del jueves, Mozilla afirmó que Mythos ha revelado un gran número de fallos de alta gravedad, incluidos algunos que habían permanecido ocultos en el código durante más de una década.

Esto supone un gran avance con respecto a lo que las herramientas de seguridad basadas en IA podían lograr hace tan solo seis meses. Hasta hace poco, las herramientas de detección de errores basadas en IA presentaban serias limitaciones, a menudo abrumando a los equipos de seguridad con informes de baja calidad y falsas alarmas. Sin embargo, los investigadores de Mozilla afirman que la última generación de herramientas ha alcanzado un punto de inflexión, especialmente ahora que los sistemas agenticos pueden evaluar su propio trabajo y filtrar los resultados deficientes.

«Es difícil exagerar lo mucho que ha cambiado esta dinámica para nosotros en tan solo unos pocos meses», escribieron los investigadores. «En primer lugar, los modelos se han vuelto mucho más capaces. En segundo lugar, hemos mejorado drásticamente nuestras técnicas para aprovechar estos modelos».

Créditos de la imagen:Firefox

Los resultados son sorprendentes: en abril de 2026, Firefox lanzó 423 correcciones de errores, frente a solo 31 en el mismo mes del año anterior. Los investigadores también han compartido detalles sobre 12 de esos errores, que van desde dos vulnerabilidades inusuales en el entorno de pruebas hasta un error de hace 15 años en la forma en que el navegador analiza un elemento HTML.

«De hecho, estas cosas han mejorado mucho de repente», declaró Brian Grinstead, ingeniero distinguido de Mozilla, a TechCrunch. «Lo vemos en nuestros propios análisis internos, lo vemos en los informes de errores externos y lo vemos en todo tipo de señales en el sector».

El hecho de que el sistema haya ayudado a descubrir vulnerabilidades en el sistema de «sandbox» de Firefox es especialmente notable, dada la complejidad que requiere un exploit dirigido a él. Para encontrar vulnerabilidades en el sandbox, el modelo debe crear un parche comprometido para el navegador y, a continuación, atacar la parte más segura del software con el nuevo código implementado. Encontrar y demostrar el fallo es un proceso delicado de varios pasos que exige tanto creatividad como precisión.

Para poner esto en perspectiva, el programa de recompensas por errores de Mozilla ofrece a los investigadores hasta 20 000 dólares por descubrir un error en el sandbox de Firefox, la recompensa más alta disponible. A pesar de esa cuantiosa recompensa, Grinstead afirma que Mythos está encontrando más problemas en el sandbox que los investigadores humanos jamás lo hicieron. «Los encontramos», declaró a TechCrunch, «pero no en el volumen que somos capaces de detectar con esta técnica».

Cabe destacar que el equipo de Firefox aún no utiliza la IA para corregir los errores, a pesar de los avances bien documentados en las herramientas de codificación de IA. El equipo sí pide a la IA que escriba parches para cada error, pero el código resultante no suele poder implementarse directamente y, en su lugar, sirve como referencia para un ingeniero humano.

«En el caso de los errores de los que hablamos en este artículo, cada uno de ellos requiere que un ingeniero escriba un parche y que otro lo revise», afirma Grinstead. «No hemos encontrado la forma de automatizarlo».

Aún no está claro cómo las capacidades emergentes de la IA remodelarán el panorama general de la ciberseguridad. Un mes después de la presentación preliminar de Mythos, es probable que la mayoría de los errores que descubrió aún no se hayan corregido, lo que dificulta evaluar su impacto total. Anthropic ha sido meticulosa a la hora de seguir las normas de divulgación responsable, pero es probable que los actores maliciosos estén utilizando técnicas similares entre bastidores, aunque los modelos que empleen sean menos avanzados.

En un evento reciente, el director ejecutivo de Anthropic, Dario Amodei, se mostró optimista y afirmó que las nuevas herramientas acabarían favoreciendo a los defensores. «Si lo gestionamos bien, podríamos estar en una posición mejor que al principio, porque habremos corregido todos estos errores. Solo hay un número limitado de errores por encontrar», dijo Amodei. «Así que creo que hay un mundo mejor al otro lado de todo esto».

Tras haber abordado las realidades prácticas, Grinstead ofrece una visión más moderada: «Es útil tanto para los atacantes como para los defensores, pero disponer de la herramienta inclina ligeramente la balanza a favor de la defensa. Siendo realistas, nadie sabe aún la respuesta a esto».