Los socios de Project Glasswing ahora pueden compartir los hallazgos de Mythos más allá del programa.

      Los socios del Proyecto Glasswing ahora pueden transmitir hallazgos de vulnerabilidades a otros equipos de seguridad, organismos de la industria, reguladores, mantenedores de código abierto y la prensa, bajo normas de divulgación responsable. La comunidad de defensores se ha ampliado.

      Anthropic dijo el lunes que está revisando su política de divulgación anterior sobre Mythos, el modelo de IA centrado en ciberseguridad no lanzado que se implementó bajo su programa de acceso controlado del Proyecto Glasswing.

      La revisión permitirá a los socios que utilizan Mythos compartir información sobre amenazas cibernéticas con otras partes potencialmente expuestas a las mismas vulnerabilidades, en lugar de mantener los hallazgos dentro de la organización socia original.

      La lista de partes con las que los socios ahora pueden compartir es, según el texto publicado, deliberadamente amplia: equipos de seguridad en otras empresas, organismos de la industria, reguladores y agencias gubernamentales, mantenedores de código abierto, los medios de comunicación y el público, todos sujetos a normas de divulgación responsable.

      La postura anterior de Anthropic había sido sustancialmente más estricta, con hallazgos mantenidos dentro del programa de socios y comunicados hacia arriba a Anthropic en lugar de hacia afuera a la comunidad de defensores más amplia.

      El cambio es importante debido a lo que Mythos ha estado encontrando. Según las propias divulgaciones de Anthropic, el modelo ha identificado miles de vulnerabilidades de día cero en sistemas operativos y navegadores importantes en pruebas internas, y ha demostrado la capacidad de desarrollar exploits funcionales contra esos fallos en el primer intento en más del 83% de los casos.

      La lista de socios del Proyecto Glasswing incluye a Amazon Web Services, Apple, Google, Microsoft, Nvidia, Cisco y JPMorgan, un grupo lo suficientemente grande como para que los hallazgos que circulan dentro de él sean en sí mismos un subconjunto significativo de la superficie de ataque empresarial moderna.

      El cambio también se produce dentro de un arco regulatorio más amplio que Anthropic ha estado navegando. La empresa se está preparando para informar al Consejo de Estabilidad Financiera sobre lo que Mythos ha encontrado dentro de la infraestructura de servicios financieros, a solicitud del gobernador del Banco de Inglaterra, Andrew Bailey.

      ASIC, la Reserva Federal, el Banco de Inglaterra, el Banco Central Europeo, el Tesoro de EE. UU. y varios reguladores asiáticos son parte del grupo de monitoreo coordinado.

      El aflojamiento de la política de divulgación es consistente con lo que los reguladores en esas vías han estado presionando en privado: que los hallazgos de vulnerabilidades no deben mantenerse estrictamente dentro de un programa de socios que excluye a la mayor parte de la comunidad de supervisión financiera.

      Hay una vía operativa paralela que vale la pena señalar. El Pentágono, según el principal funcionario de tecnología del Departamento de Defensa la semana pasada, ha estado utilizando Mythos para encontrar y corregir vulnerabilidades de software en el gobierno de EE. UU. mientras corre simultáneamente para completar una transición lejos de Anthropic, en lo que se ha convertido en una postura compleja de la administración Trump hacia la empresa.

      Los bancos del Reino Unido recibieron su propia sesión informativa sobre Mythos a principios de este mes; las nuevas reglas de compartición de socios permiten que esas sesiones informativas fluyan hacia abajo de una manera que la estructura anterior impedía.

      Los mecanismos técnicos y de política de divulgación responsable son el factor limitante. La política revisada de Anthropic no abandona, según el texto publicado, el requisito de que el intercambio hacia abajo sea coordinado bajo normas estándar de divulgación responsable, que incluyen ventanas de parcheo razonables y restricciones sobre detalles que puedan ser utilizados como armas.

      Lo que el cambio no resuelve es la asimetría estructural que los críticos han estado presionando durante dos meses: que las 40 a 50 organizaciones dentro del Proyecto Glasswing obtienen la perspectiva del defensor sobre Mythos antes que el resto del ecosistema empresarial global, y que la asimetría ahora se está expandiendo a través de las reglas de compartición de socios en lugar de colapsar a través de un acceso directo más amplio.

      El marco de Anthropic sobre el programa de acceso controlado ha sido consistentemente que está calibrado para dar a los defensores una ventaja inicial sobre el inevitable uso adversario de capacidades comparables.

      Las reglas de compartición aflojadas son la evolución operativa más concreta de ese marco desde que Mythos fue anunciado por primera vez en abril.