Las empresas con acceso anticipado a Claude Mythos Preview, de Anthropic, divulgaron alrededor de un 120% más de vulnerabilidades de software que un grupo de comparación de compañías chinas, según un estudio preliminar publicado el 4 de noviembre. El análisis no encontró retrasos estadísticamente significativos en los canales de reparación de proveedores y distribuciones de Linux examinados. Sin embargo, las divulgaciones públicas no reflejan todas las vulnerabilidades y la publicación de un parche no implica que los usuarios ya lo hayan instalado; por tanto, los resultados no demuestran que el software esté menos expuesto a ataques.
El estudio comparó 13 empresas participantes con 267 compañías chinas
El trabajo, firmado por Thomas Mosk, abarca el periodo de octubre de 2025 a septiembre de 2026. Anthropic anunció Project Glasswing el 7 de abril de 2026 y dio acceso a Mythos Preview a un grupo de empresas seleccionadas. Para analizar las divulgaciones, el estudio comparó a 13 compañías participantes con 267 empresas chinas. Las compañías del grupo de comparación podían utilizar otras herramientas de inteligencia artificial.
Los investigadores estimaron que las divulgaciones de vulnerabilidades aumentaron cerca de un 120% entre las empresas participantes. Las divulgaciones de vulnerabilidades de alto impacto crecieron aproximadamente un 150%. El estudio define «alto impacto» como aquellas cuyo subíndice de impacto supera la mediana de gravedad; no es una medición directa de las pérdidas reales.
Las empresas no fueron seleccionadas al azar para acceder a Glasswing y las prácticas de divulgación pueden variar entre países. Estas limitaciones dificultan establecer una relación de causa y efecto: los resultados muestran una asociación entre el acceso y el cambio en las tasas de divulgación, pero no prueban que el modelo explique por sí solo todo el aumento.
Los canales de reparación no registraron retrasos significativos
Mosk analizó la corrección de vulnerabilidades por separado de su divulgación, comparando muestras más pequeñas de fallos relacionados con Glasswing con otras vulnerabilidades no chinas. Un análisis siguió 658 vulnerabilidades notificadas a proveedores mediante Zero Day Initiative hasta junio de 2026. Otro abarcó 14.855 vulnerabilidades divulgadas hasta julio y examinó la corrección por parte de distribuciones de Linux como Debian, Ubuntu, Red Hat y SUSE.
Ninguno de los dos canales mostró un retraso estadísticamente significativo. Entre las vulnerabilidades divulgadas, la mediana de tiempo hasta que una distribución publicaba una corrección se mantuvo en un día. Las estimaciones sobre correcciones de proveedores descartaron un retraso superior a aproximadamente el 13%, pero no permitieron excluir cambios menores. En las estimaciones posteriores de las distribuciones tampoco pudo descartarse una caída de unos 11 puntos porcentuales en la proporción de vulnerabilidades corregidas en un plazo de 90 días.
El estudio se limitó a determinadas muestras de vulnerabilidades y canales de reparación; no midió los fallos que no se habían divulgado ni el tiempo que tardan los usuarios finales en instalar los parches. Que una solución esté disponible, por tanto, no significa que todos los sistemas afectados estén actualizados.
Sin cambios significativos en las vulnerabilidades con explotación conocida
En una comparación que llegó hasta mayo, antes de que Glasswing ampliara su alcance en junio, el estudio no detectó cambios estadísticamente significativos en el número de vulnerabilidades con explotación conocida en grandes empresas no chinas durante periodos de uno, dos o tres meses. Eso no demuestra que la explotación se mantuviera igual: las estimaciones eran imprecisas, no descartaban ciertos aumentos o descensos y solo recogían casos de explotación temprana conocidos, no todos los ataques ni las vulnerabilidades aún no divulgadas.
En algunas comparaciones disminuyó la proporción de vulnerabilidades divulgadas cuya explotación se conocía. Pero si aumenta el total de divulgaciones, esa proporción puede bajar aunque el número de vulnerabilidades explotadas conocidas no cambie. El estudio considera que este resultado es indicativo, no una prueba de que los ataques sean menos frecuentes.
Epoch AI había analizado anteriormente los cambios en las divulgaciones de vulnerabilidades de gravedad alta y crítica tras Mythos Preview, el 2 de julio. También advirtió que las estadísticas públicas pueden omitir hallazgos no divulgados y reflejar un mayor interés por la investigación de vulnerabilidades.
En la infraestructura cripto, detectar una vulnerabilidad, publicar un parche y conseguir que los nodos lo instalen son etapas distintas. El 29 de octubre, Bitcoin Core divulgó tres vulnerabilidades detectadas con ayuda de IA, verificadas y corregidas; que los nodos de la red hubieran instalado esos parches seguía siendo una cuestión aparte. El estudio observó más divulgaciones sin un retraso claro en los canales de reparación analizados, pero no determina si esto ha reducido los ataques o mejorado la seguridad del software en uso.