🛡 VULNERABILIDADES 🛡

Anthropic reduce las restricciones de Claude para los Defensores Verificados.

⏰8 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Anthropic reduce las restricciones de Claude para los Defensores Verificados.

⟫ 07/10/2026 ⟫ Alexander Culafi

Fuente: Dark Reading

**Introducción Contextual**

La ciberseguridad se ha convertido en una de las principales preocupaciones en el mundo digital actual, donde las amenazas cibernéticas evolucionan constantemente y los actores maliciosos buscan maneras de explotar vulnerabilidades en sistemas críticos. En este contexto, la empresa Anthropic ha anunciado la fusión de su iniciativa Project Glasswing con su programa de Verificación Cibernética (Cyber Verification Program, CVP), con el objetivo de ofrecer a profesionales de la seguridad acceso a capacidades avanzadas de inteligencia artificial (IA) para la detección de vulnerabilidades. Esta decisión no solo tiene implicaciones para las empresas que participan en el programa, sino que también afecta a la seguridad de la infraestructura digital de diversas organizaciones y, en última instancia, a la protección de los datos de los usuarios.

**Detalles Técnicos**

El Project Glasswing es una iniciativa que agrupa a más de 40 organizaciones de renombre, incluyendo gigantes tecnológicos como Amazon, Apple, Microsoft, Google, la Fundación Linux, JP Morgan Chase y NVIDIA. Este proyecto proporciona acceso a Claude Mythos, el modelo de lenguaje de IA más avanzado de Anthropic, diseñado específicamente para detectar vulnerabilidades en software. Sin embargo, la empresa ha optado por limitar el acceso general a esta tecnología debido a su potencial de uso indebido por parte de actores maliciosos, ya que Mythos puede acelerar significativamente el descubrimiento de vulnerabilidades en sistemas.

El CVP, que anteriormente abarcaba dos modelos de IA (Claude Opus y Sonnet), ahora se expande para ofrecer tres niveles de acceso a capacidades cibernéticas, en función de la clasificación de riesgo y el tipo de trabajo que realizan las organizaciones solicitantes. Esta estructura escalonada permite a Anthropic proporcionar a ciertos socios acceso a modelos de IA más potentes, como Claude Opus 5.5, Claude Sonnet 5.5 y Claude Mythos 5.1, así como a futuros modelos que se desarrollen.

Un dato relevante es que, entre abril y julio de este año, los socios que utilizaron estos modelos identificaron al menos 129,000 vulnerabilidades de software verificadas, cifra que resalta la capacidad de la IA para acelerar la identificación de fallos en sistemas. A esto se suman 5,500 vulnerabilidades adicionales descubiertas a través del escaneo de código abierto entre abril y octubre. De estas, más de 33,000 han sido clasificadas como críticas o de alta gravedad, lo que indica la importancia de contar con herramientas efectivas para gestionar la seguridad cibernética.

**Impacto y Consecuencias**

La ampliación del CVP y la inclusión del Project Glasswing tiene importantes implicaciones para la ciberseguridad en diversas industrias. Anthropic ha diseñado tres niveles de acceso: "Defense Access", "Red Team Access" y "Specialized Access". Cada uno de estos niveles está destinado a diferentes tipos de profesionales de la seguridad. El nivel más amplio, "Defense Access", está dirigido a equipos de operaciones de seguridad, investigadores individuales y organizaciones que defienden sistemas críticos. Por otro lado, "Red Team Access" está destinado a testers de penetración autorizados, mientras que "Specialized Access" es el nivel más exclusivo y está reservado para organizaciones verificadas que pueden realizar pruebas en sistemas que impactan la vida de las personas o los mercados.

Sin embargo, el hecho de que la IA pueda acelerar el descubrimiento de vulnerabilidades también plantea preocupaciones. Ensar Seker, director de seguridad de la información en SOCRadar, advierte que si la identificación de vulnerabilidades se acelera mientras que la remediación no avanza al mismo ritmo, las organizaciones podrían verse abrumadas por un mayor número de fallos sin resolver. Esto podría llevar a un aumento en la exposición a riesgos, en lugar de mejorar la seguridad.

**Contexto Histórico**

La preocupación por el uso indebido de modelos de IA no es nueva. En los últimos meses, ha habido un creciente debate sobre las implicaciones éticas y de seguridad de las tecnologías de IA, especialmente en el contexto de los ataques cibernéticos. La separación de las actividades de análisis defensivo, pruebas autorizadas y el testeo de sistemas críticos es un enfoque lógico para mitigar el riesgo asociado. Sin embargo, la verificación continua de la autorización para estos accesos puede ser un desafío, dado que una organización verificada aún puede ser vulnerable a cuentas comprometidas o a insiders maliciosos.

**Recomendaciones**

A medida que las organizaciones buscan aprovechar las capacidades ofrecidas por programas como el CVP de Anthropic, es crucial que implementen medidas de seguridad robustas. Esto incluye la formación continua de los equipos de seguridad, la implementación de controles de acceso estrictos y la realización de auditorías regulares para detectar posibles brechas de seguridad. Además, las organizaciones deben estar atentas a las actualizaciones y cambios en los programas de IA, adaptando sus estrategias de ciberseguridad para mitigar los riesgos asociados con el uso de tecnologías avanzadas.

A pesar de que Anthropic no ha proporcionado comentarios adicionales sobre la nueva estructura del CVP, el avance hacia un modelo más escalonado y regulado puede representar un paso positivo en la lucha contra las amenazas cibernéticas, siempre que se mantenga un equilibrio entre la innovación y la seguridad.

◢ VULNERABILIDADES ◣

Anthropic Gives Vetted Defenders Fewer Claude Guardrails

⟫ 07/10/2026 ⟫ Alexander Culafi

Source: Dark Reading

Anthropic will merge Project Glasswing into its existing Cyber Verification Program (CVP) to create an expanded, tiered program that gives vetted security professionals access to advanced AI cyber capabilities with varying levels of safeguards that experts say may or may not prevent misuse. TheProject Glasswinginitiative consists of a tightly vetted group of companies that includes more than 40 organizations, such as Amazon, Apple, Microsoft, Google, Linux Foundation, JP Morgan Chase, NVIDA, and several others. It gives access to Claude Mythos, Anthropic's most advanced cyber large language model (LLM). The company decided to limit broader access because of the frontier technology's dual-use potential forabuse by threat actors;Mythos, Anthropic said, significantly accelerates vulnerability discovery. The CVP previously covered two other models, Claude Opus and Sonnet, with a single level of access. After addingProject Glasswing, it will now grant certain organizations three different levels of cyber capabilities. "Each tier includes access to our most capable models, including Claude Opus 5.5, Claude Sonnet 5.5,Claude Mythos5.1, and new models moving forward,"Anthropic's Oct. 6 announcementread. The expanded CVP turns the two programs into a single, ongoing access system, and security professionals can now apply for access based on the type and risk level of their work. The blog post notes that between April and July of this year, partners using the models uncovered at least 129,000 verified software vulnerabilities. Open source scanning revealed an additional 5,500 verified vulnerabilities between April and October. "Of these verified vulnerabilities, more than 33,000 have so far been rated as critical- or high-severity," the company said in its blog post. Ensar Seker, chief information security officer (CISO) at SOCRadar, tells Dark Reading that although the 129,000 figure signals AI can accelerate the vulnerability discovery window, the more important metric will be how much AI shortens the period during which exploitable weaknesses remain exposed. "If discovery accelerates while remediation falls behind, organizations may accumulate a larger backlog rather than become safer," he says. "AI gives defendersa chanceto move ahead; converting that chance into an advantage requires faster, reliable remediation." The broadest tier is "Defense Access," built for defensive work including, the announcement noted, "security operations center and incident-response tasks, reverse-engineering malware, and analyzing and validating vulnerabilities." Anthropic expects a wide range of legitimate security organizations to qualify: this means corporate security teams, nonprofits, universities, government bodies defending systems they own or maintain, critical infrastructure operators, smaller security firms, open source maintainers, and "individual researchers with a track record of reported vulnerabilities." The next tier is "Red Team Access," built for authorized public and private penetration testers running red teams offensive testing. "Organizations in this tier can only perform adversarial testing against systems they are authorized to test, including IT systems in critical industries," according to Anthropic. "Users will still experience real-time blocks on actions that could cause physical harm or mass disruption, such as deploying ransomware, damaging physical systems, or pen testing high-risk safety systems." The most exclusive tier is "Specialized Access," which carries the fewest cyber limitations on how participants can use it. Like Project Glasswing before it, it's reserved for verified organizations authorized to test systems that could impact people's lives or impact markets, like power grids, flight operating systems, telecom networks, interbank transfer infrastructure, and government administrative networks. Existing Project Glasswing members will transition to this top tier, and future applications will be reviewed in depth with the US government. Publicly available models will continue to be usable for software development and less critical security tasks. AI model misuse has been top of mind for months, as the wider world wonders what to do aboutAIagentescapesand threat actors abusing large language models (LLMs). Seker warns that Anthropic's tiered model is a sensible way to reduce misuse, but not proof in itself that misuse has been prevented. "Separating defensive analysis, authorized red teaming and testing of safety-critical systems recognizes that those activities carry different risks. The difficult part is verifying authorization continuously," he says. "A verified organization can still have a compromised account, a malicious insider or a legitimate user operating outside an approved engagement." Anthropic did not respond to Dark Reading's request for comment by press time.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD