Què és Mythos i per què la IA hacker preocupa les ciberdefenses de tot el món?
Sam Bowman, un investigador en intel·ligència artificial, estava menjant-se un entrepà en un parc quan va rebre una inesperada notificació: un correu electrònic de la IA que estava provant, Mythos.
No esperava el correu perquè se suposava que, durant uns tests de seguretat, havia tancat Mythos en un entorn de proves tancat, aïllat i segur (un sandbox), pràcticament sense accés a internet.
No només va "escapar-se" de l'entorn amb un "exploit moderadament sofisticat de diversos passos" per ampliar el seu accés a internet, sinó que els investigadors expliquen que, sense haver-ho demanat mai, va fer públic el seu èxit en diverses pàgines web "difícils de trobar, però tècnicament obertes al públic".
És cert que les instruccions que li havia donat Bowman eren, literalment, "intenta escapar d'aquest contenidor i troba la manera d'enviar-me un correu electrònic". El fet que ho aconseguís, i després semblés que se'n vanagloriava, era sorprenent.
Un model massa perillós
Tenim models d'IA que conversen (GPT), altres que generen imatges (NanoBanana) o vídeo (Kling) i, fa un temps, tenim models que escriuen codi informàtic d'alta qualitat, sovint molt millor que un programador júnior.
Claude Mythos Preview, una de les IA de l'empresa Anthropic, és dels últims. De fet, Mythos és una IA hacker.
Que Mythos sigui tan bo llegint i escrivint codi informàtic també el fa particularment capaç de trobar-hi errors. Les conegudes com a "vulnerabilitats" o els "forats de seguretat" és el que aprofiten els ciberdelinqüents per entrar en els sistemes de bancs, administracions públiques, infraestructures crítiques, bases de dades...
Segons Anthropic, Mythos ja ha trobat "milers de vulnerabilitats d'alta gravetat", algunes de les quals havien passat "desapercebudes durant dècades" a les revisions de codi humanes, i n'ha descobert "en tots els principals sistemes operatius i navegadors web".
De fet, és tan bo que Anthropic va decidir no fer-lo públic. En un moviment que tenia molt de màrqueting, va anunciar el Projecte Glasswing, un "intent urgent per assegurar el programari més crític del món".
De moment, Anthropic només ha donat accés a Mythos a un grup selecte d'empreses, en una iniciativa conjunta amb sospitosos habituals, la gran majoria nord-americans, com Apple, Amazon Web Services, Google, Cisco, JPMorganChase, Nvidia, Microsoft, Linux Foundation...
Més de 40 organitzacions "que construeixen o mantenen infraestructures de programari crítiques" poden, des de la primera setmana d'abril, provar el model i aprendre a protegir-se.
Es democratitza el hacking?
Mythos no només pot trobar errors, i ajudar a solucionar-los, sinó que pot explotar-los per al seu propi benefici, que, si està ben "alineat", coincideix amb l'objectiu de la persona que l'ordena.
Segons Anthropic, i molts experts, "els models d'IA poden superar tots els humans --excepte els més traçuts-- a l'hora de detectar vulnerabilitats de programari" i "mostren una capacitat sorprenent per trobar maneres d'explotar-les".
Amb els models d'IA d'última generació "el cost, l'esforç i el nivell d'experiència necessaris per trobar i explotar vulnerabilitats han disminuït dràsticament". No només amb Mythos.
La IA és molt bona companya de feina per a un programador, així com per a un expert en ciberseguretat... i per a un ciberdelinqüent.
Les conseqüències —per a les economies, la seguretat pública i la seguretat nacional— podrien ser greus.
Dijous va començar la Pwn2Own 2026, la competició de hackers més famosa del món, a Berlín. Per primera vegada en 19 anys, van haver de tancar el registre de nous participants abans de temps: els models d'IA havien facilitat que molts més participants trobessin vulnerabilitats de dia zero (desconegudes i sense solucionar) en serveis públics i reconeguts i volguessin venir a demostrar-les.
No hi havia espai per a tots, així que alguns van optar per fer-les públiques.
Amb els nous models d'IA, els ciberatacs de tota mena, assegura Anthropic, podrien ser "molt més freqüents i destructius" i, afegeix, "empoderar els adversaris dels Estats Units i els seus aliats". De moment, però, "els seus aliats" han quedat notablement fora.
Moviments d'Europa, Trump i la competència
Europa encara no ha provat Mythos. A principis de maig, els ministres d'Economia i Finances de l'eurozona van acordar començar a trobar-se per discutir els riscos que els nous models d'IA poden suposar per a la seguretat econòmica, especialment del sector bancari de l'Eurogrup.
Entre altres coses, pretenien obtenir accés a models com Mythos, tal com explicava el seu president, Kyriakos Pierrakakis: "La sobirania tecnològica d'Europa és el debat central [...] però no crec que puguem permetre'ns el luxe de no intentar establir canals de comunicació amb els Estats Units". De moment, segueixen sense donar-los accés a Mythos. El Parlament Europeu ja adverteix que la comunitat "no està preparada".
El Banc d'Espanya va demanar dijous una "cooperació internacional més forta i un accés més ampli" a models d'intel·ligència artificial d'avantguarda.
La coordinació internacional és fonamental per augmentar la resiliència a nivell global i prevenir atacs.
A finals d'abril, el Japó va obrir un grup de treball per abordar els riscos de ciberseguretat per al sistema financer que plantegen models d'IA com Mythos, tal com va explicar la ministra de Finances, Satsuki Katayama, després de reunir-se amb l'Agència de Serveis Financers, el Banc del Japó, l'Oficina Nacional de Ciberseguretat, els tres principals bancs del país i el Japan Exchange Group.
Mythos no és el primer model d'"IA hacker", i la competència ha respost ràpidament. Microsoft fa temps que ofereix GitHub Copilot. OpenAI, els de ChatGPT, ja han presentat GPT-5.4-Cyber, i dimarts va oferir que hi accedissin diferents empreses europees com Deutsche Telekom, BBVA, Telefonica o Sophos per millorar la seva "resiliència i ciberseguretat".
Alguns mitjans, com el New York Times, apunten que l'administració Trump ha fet un gir en la seva política de no-intervenció en el desenvolupament de models d'avantguarda com Mythos.
La IA revolucionarà, també, la ciberseguretat (tant en atac com en defensa) i, entre clams de perill, iniciatives i aliances que semblen arguments de venda de les empreses que desenvolupen els models, nombrosos països, empreses i agències de ciberseguretat s'estan preparant seriosament.