Anthropic lanza la Cyber Mission para reforzar la defensa de infraestructura crítica y software libre

El 8 de octubre de 2026, Anthropic anunció la Anthropic Cyber Mission, un compromiso de largo plazo para reforzar la seguridad de los sistemas de los que depende la sociedad. La iniciativa arranca en dos frentes: la defensa de la infraestructura crítica, especialmente la tecnología operativa (OT) que controla redes eléctricas, sistemas de agua, fábricas y redes de transporte, y el refuerzo del software de código abierto, del que depende la mayor parte del software existente.

En el ámbito de la infraestructura crítica, la compañía lanza el Critical Infrastructure Defense Program (CIDP). A través de él pone a disposición de proveedores de confianza modelos frontera de Claude, ingenieros in situ y su investigación de amenazas. Los socios fundadores son Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC y Rockwell Automation. Estos sistemas suelen estar diseñados para durar décadas, a menudo no pueden pararse para aplicar parches y las vulnerabilidades conocidas permanecen abiertas durante años. Un error puede detener una planta. El programa pretende ayudar a los proveedores en los que confían los operadores a identificar y reparar debilidades antes de que se usen para interrumpir servicios esenciales.

En el software libre, Anthropic presenta OSS Scanner, un servicio opt-in inspirado en OSS-Fuzz de Google. Los proyectos inscritos reciben escaneos periódicos con los modelos más capaces de la compañía, de forma gratuita. Cada informe incluye una prueba de concepto de cómo se podría explotar el fallo, una explicación y, cuando es posible, una corrección sugerida. Los informes se generan por modelo y se envían sin revisión humana previa. Anthropic espera una tasa de verdaderos positivos superior al 90 % y reconoce que algunos informes pueden contener imprecisiones. El servicio está pensado para proyectos que pueden gestionar el volumen de hallazgos. Para el resto se mantiene el proceso de divulgación coordinada con revisión humana.

Bajo Project Glasswing se escanearon cientos de proyectos de código abierto y se identificaron más de 29.000 vulnerabilidades candidatas, de las que solo se pudieron revisar y triar de forma manual unas 6.000. Esa brecha de capacidad humana motiva el nuevo servicio. Los modelos de alta capacidad ciber son ya ampliamente accesibles para atacantes, mientras que las herramientas defensivas no han llegado todavía a suficientes defensores. La previsión de Anthropic es que en dos años la IA favorecerá la defensa, pero en el corto plazo el coste de explotar vulnerabilidades ha bajado mientras que verificar, divulgar y corregir sigue siendo lento y dependiente de personas.

Para un responsable TIC de un centro educativo o una organización de tamaño medio, el anuncio tiene lecturas prácticas. Casi todo el software que se usa (sistemas operativos, plataformas educativas, bibliotecas de aplicaciones web) depende de componentes de código abierto mantenidos por equipos pequeños. Un servicio que entrega informes con prueba de concepto y parche sugerido puede reducir el tiempo entre el descubrimiento y la corrección, siempre que el equipo tenga capacidad para priorizar y aplicar los cambios. Aunque la mayoría de organizaciones no gestionan redes eléctricas, sí dependen de proveedores que sí lo hacen. Mejorar la postura de esos proveedores reduce el riesgo de interrupciones que afectan a los servicios digitales propios.

Lo que no hace el anuncio es sustituir el trabajo interno. OSS Scanner es opt-in y los informes llegan sin filtrado humano. Un equipo pequeño debe decidir si tiene capacidad de triaje o si prefiere esperar a divulgaciones verificadas. Conviene inventariar las dependencias de código abierto más relevantes y establecer un proceso mínimo de seguimiento de vulnerabilidades. La automatización acelera el hallazgo; la aplicación sigue dependiendo de personas y de ventanas de mantenimiento.

Anthropic indica que ampliará la Cyber Mission a nuevas áreas. Mientras tanto, el mensaje es claro: los atacantes ya disponen de modelos capaces y la defensa necesita reducir el desfase entre descubrimiento y corrección, tanto en el software libre del que depende casi todo como en los sistemas que no se pueden parar con facilidad.