Mythos y el precio del vibe coding: el 45% del código generado por IA contiene vulnerabilidades, y ya hay modelos capaces de encontrarlas en horas

Madrid. El pasado 7 de abril, Anthropic presentó Claude Mythos, un modelo de IA que ha cambiado las reglas de la ciberseguridad. En Logixs hemos analizado sus implicaciones, y no solo para los equipos de seguridad: para la forma en que las organizaciones están adoptando la inteligencia artificial en su conjunto. Nuestro análisis ha tenido una amplia repercusión en medios como El Economista, CyberSecurity News, Cepymenews e Infonegocios Madrid, además de la edición impresa de El Economista.

Qué ha demostrado Mythos

Mythos es capaz de descubrir de forma autónoma miles de vulnerabilidades en sistemas operativos y navegadores, incluyendo fallos que llevaban hasta 27 años sin detectarse pese a décadas de revisión humana y millones de pruebas automatizadas. Además, genera exploits funcionales para el 72% de las vulnerabilidades que encuentra, completando en horas lo que a un equipo humano le llevaría semanas.

Ante su potencial ofensivo, Anthropic decidió no hacerlo público y lanzó Project Glasswing, una iniciativa de 100 millones de dólares que restringe el acceso a socios como AWS, Apple, Microsoft o Google para uso exclusivamente defensivo. Pese a ello, el 22 de abril se produjo un acceso no autorizado al modelo a través de credenciales comprometidas de un contratista externo. Lo que el sector temía ya ha ocurrido.

Los datos que dimensionan el problema

El fenómeno no es aislado, y las cifras hablan solas. El 99% de las grandes empresas con infraestructura en la nube ya utiliza agentes de IA para generar código, según el State of Cloud Security Report 2025 de Palo Alto Networks. Al mismo tiempo, cerca del 45% del código generado por IA contiene vulnerabilidades, según Veracode. Y Mythos no está solo: modelos como GPT-5.4-Cyber de OpenAI o Big Sleep de Google desarrollan capacidades comparables. La preocupación ha escalado hasta las instituciones: el 16 de abril, el Parlamento Europeo planteó una pregunta formal a la Comisión Europea sobre cómo prevenir un posible "cibergedón" y adaptar el marco legislativo a modelos de IA con capacidades ofensivas.

El verdadero problema no es Mythos: es cómo estamos adoptando la IA

Lo más relevante de Mythos no es su capacidad ofensiva, sino lo que revela sobre el momento que atraviesan las empresas. El auge del vibe coding —desarrollar software con IA sin conocimientos técnicos profundos— está multiplicando exponencialmente la producción de código y, con ella, la superficie de ataque de las organizaciones. Justo cuando esas vulnerabilidades ya no pueden permanecer ocultas.

"Mythos es una señal de alerta para todo el ecosistema empresarial, no solo para los equipos de ciberseguridad. La velocidad a la que las empresas están generando software con IA no puede ir por delante de la seguridad, la trazabilidad y la supervisión humana. El problema no es la inteligencia artificial en sí, sino cómo se está implementando: muchas organizaciones están añadiendo IA sobre estructuras que no están preparadas, sin gobierno del dato, sin validación del código y sin un marco claro que garantice que lo que se construye es seguro. Mythos simplemente ha demostrado que esas carencias tienen consecuencias reales."

Generar código no basta: hay que gobernarlo

Este nuevo escenario obliga a replantear estrategias, priorizando seguridad, gobernanza y supervisión en un entorno donde la IA no solo crea, sino que también puede explotar vulnerabilidades a una velocidad sin precedentes. Es exactamente la filosofía con la que construimos ADA, nuestra plataforma agéntica: cada línea de código validada automáticamente contra criterios de seguridad y cumplimiento, con trazabilidad auditable de extremo a extremo y supervisión humana en la decisión final.