Anthropic lanza la Cyber Mission para infraestructura crítica, código abierto

Anthropic anunció la Anthropic Cyber Mission el 8 de octubre de 2026, describiéndola como un esfuerzo a largo plazo para ayudar a asegurar los sistemas de los que depende el público. El esfuerzo comienza con dos programas: un Programa de Defensa de Infraestructura Crítica respaldado por 11 socios fundadores, y OSS Scanner, un servicio gratuito de suscripción que realiza escaneos de seguridad regulares del software de código abierto con los modelos más potentes de la compañía.

Anthropic dijo que los modelos de frontera pueden ser mal utilizados para explotar vulnerabilidades y llevar a cabo operaciones cibernéticas, y que adversarios patrocinados por estados han pasado años estableciendo posiciones en numerosos sectores para poder interrumpir esos sistemas. Los defensores de la infraestructura crítica y la comunidad de código abierto, afirmó la empresa, cuentan con décadas de experiencia en seguridad pero enfrentan graves escaseces de recursos, y la Cyber Mission desplegará talento de ingeniería, herramientas y financiación para apoyarlos.

Programa de Defensa de Infraestructura Crítica

El Programa de Defensa de Infraestructura Crítica proporciona modelos Claude de frontera, ingenieros in situ y la investigación de amenazas de Anthropic a los proveedores de confianza que defienden la tecnología operativa, comenzando con los sistemas que sustentan las redes eléctricas, los sistemas de agua y las redes de transporte, junto con los sistemas gubernamentales. Sus socios fundadores son Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC y Rockwell Automation.

Anthropic describió el grupo como abarcando a las empresas de consultoría y de tecnología avanzada que gestionan programas de seguridad, a las compañías de seguridad que protegen redes empresariales e industriales, y a los fabricantes que construyen y parchean el propio equipamiento. Varios socios ya están trabajando con Claude para corregir vulnerabilidades y ayudar a los clientes a hacer lo mismo, dijo la empresa, y su primer paso es colaborar con un pequeño grupo de proveedores para aprender qué estrategias son más efectivas y prácticas. Las empresas que desarrollan productos o servicios de seguridad para infraestructura crítica pueden registrar su interés a medida que el programa se expanda.

En declaraciones publicadas junto al anuncio, CrowdStrike dijo que “la infraestructura crítica que enfrenta amenazas a velocidad de máquina requiere una defensa a velocidad de máquina”, y Palo Alto Networks afirmó que está combinando su inteligencia de amenazas Unit 42 y experiencia operativa con los modelos de frontera de Anthropic para ayudar a los operadores a defender servicios esenciales. Booz Allen calificó a la tecnología operativa como la próxima frontera para ataques autónomos habilitados por IA.

Tecnología Operativa y Sistemas Gubernamentales

Las redes eléctricas, los servicios de agua, las fábricas y las redes de transporte funcionan con controladores, software de control y redes industriales construidos para durar décadas, y a menudo no pueden desconectarse para aplicar parches, por lo que las vulnerabilidades conocidas pueden permanecer sin corregir durante años. Anthropic describió este trabajo especializado, señalando que el equipamiento es propietario, que los cambios conllevan riesgos y que un solo error puede derribar una planta, dejando a los operadores dependientes de un reducido conjunto de proveedores de confianza. La empresa afirmó que cree que los modelos de frontera pueden ayudar a encontrar y reparar debilidades antes de que se utilicen para cortar la energía o volver el agua insegura, aunque reconoce que la infraestructura crítica es difícil de defender en muchos aspectos que la IA no puede solucionar.

El programa amplía el trabajo de Anthropic en el sector gubernamental. En junio, la compañía lanzó un programa de defensa cibernética para gobiernos estatales, locales, tribales y territoriales; Anthropic dijo que desde entonces ha ofrecido modelos Claude de frontera y soporte técnico a más de la mitad de todos los estados de EE. UU. y a algunos de los mayores operadores públicos de infraestructura crítica del país, acelerando el escaneo y parcheo de código, la respuesta a incidentes, el red teaming y otros flujos de trabajo de seguridad.

OSS Scanner para proyectos de código abierto

El segundo programa, OSS Scanner, es un servicio de suscripción inspirado en OSS‑Fuzz de Google que brinda a los proyectos de código abierto inscritos escaneos periódicos con los modelos más capaces de Anthropic, incluido Claude Mythos, sin costo. Según una Frontier Red Team post publicada el mismo día, cada informe contiene un reproducidor autónomo o prueba de concepto, una explicación con una bisectación cuando sea posible y un parche candidato cuando esté disponible. Los informes son generados completamente por el modelo y se envían sin revisión humana, lo que, según Anthropic, permite una entrega más rápida pero implica que algunos contendrán inexactitudes, como una clasificación de severidad incorrecta; la empresa espera una tasa de verdaderos positivos superior al 90 %.

Para validar una versión temprana, Anthropic pidió a los probadores de penetración expertos que revisan sus hallazgos de divulgación coordinada de vulnerabilidades que verificaran 97 hallazgos críticos y de alta severidad del escáner en 48 proyectos. El equipo informó que 85 (88 %) cumplieron con los criterios de su proceso de divulgación, que 11 del resto eran reales pero duplicaban problemas conocidos u otros hallazgos, y que uno fue un falso positivo. En los últimos seis meses, la empresa dijo que sus modelos detectaron más de 29 000 vulnerabilidades candidatas, aproximadamente 6 000 de las cuales fueron revisadas y priorizadas manualmente, mientras que casi 5 000 informes no verificados se enviaron directamente a los mantenedores que solicitaron recibir todo.

Los mantenedores citados en la publicación informaron resultados sólidos. Todd Ouska de wolfSSL dijo que “de los 74 informes que recibimos, todos menos dos fueron válidos, y cinco se convirtieron en CVE”. Noah Misch de PostgreSQL comentó que una fracción inusualmente alta de los hallazgos del escáner descubrió defectos en PostgreSQL y que varios informes venían con correcciones que su equipo podía usar casi tal cual, mientras que Anton Arapov de OpenSSL Corporation afirmó que los informes que su organización recibió, incluido el output bruto del modelo, fueron tan buenos o mejores que los que obtiene de personas. Eddie Kohler de HotCRP describió los informes de errores como exhaustivos y claros.

Los mantenedores principales de los proyectos elegibles se inscriben enviando una solicitud de extracción al repositorio oss-scanner de Anthropic en GitHub, con elegibilidad basada en criterios similares a los de OSS-Fuzz, incluyendo un impacto crítico en la infraestructura y la seguridad de los usuarios, decidido caso por caso. Anthropic indicó que los proyectos sin capacidad para triagear los hallazgos seguirán recibiendo divulgaciones verificadas por humanos bajo su política de divulgación coordinada de vulnerabilidades, y distinguió OSS Scanner de Claude Security, su producto de escaneo y parcheo de código de acceso general empresarial. Los mantenedores también pueden solicitar suscripciones gratuitas a Claude Max a través de Claude for Open Source y al Cyber Verification Program para obtener acceso ampliado.

Project Glasswing y Próximos Pasos

Anthropic dijo que los nuevos esfuerzos se basan en las lecciones de Project Glasswing, anunciado el 7 de abril de 2026 con Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks. Bajo esa iniciativa, Anthropic se comprometió a proporcionar hasta 100 millones de dólares en créditos de uso de Claude Mythos Preview y 4 millones de dólares en donaciones directas a organizaciones de seguridad de código abierto, y afirmó que había donado 2,5 millones de dólares a Alpha-Omega y OpenSSF a través de la Linux Foundation y 1,5 millones de dólares a la Apache Software Foundation. El 6 de octubre de 2026, Anthropic lanzó un Programa de Verificación Cibernética ampliado con tres niveles de acceso, y el anuncio de la Misión Cibernética indicó que Project Glasswing se ha incorporado a ese programa, con los miembros actuales de Glasswing pasando al nivel de Acceso Especializado.

Anthropic también declaró que ha financiado a la Python Software Foundation y apoya a Akrites y Gold Eagle, que recopilan y coordinan informes de vulnerabilidades de múltiples fuentes para que los mantenedores no se vean abrumados. El Defender Advantage Fund, lanzado en agosto, respalda programas piloto en estas áreas y mantiene OSS Scanner gratuito.

Anthropic pronostica que, dentro de dos años, la IA favorecerá la defensa, facilitando la detección de errores antes de su lanzamiento y la defensa activa de sistemas con modelos, aunque la compañía señaló que eso podría no ser inmediato. Indicó que en Glasswing a menudo observaba que pasaban meses entre el descubrimiento y la corrección de una vulnerabilidad, y que con la tecnología operativa una solución puede, en casos raros, tardar décadas en aplicarse de forma segura. En los próximos meses, Anthropic afirmó que ampliará el Programa de Defensa de Infraestructura Crítica a más socios y sectores, compartirá lo que aprende, incluido lo que no funcionó, expandirá su trabajo de código abierto y cadena de suministro, y colaborará con otros desarrolladores de IA, empresas de seguridad y gobiernos que ejecutan sus propios esfuerzos.