Claude Mythos: vulnerabilidades que Bank of America parchea con 1000

El 14 de octubre, el consejero delegado de Bank of America, Brian Moynihan, contó en una entrevista con CNBC que el banco había contratado a unos 1000 contratistas externos solo para parchear vulnerabilidades de software detectadas por modelos de IA, entre ellos Claude Mythos de Anthropic.

¿Qué ha pasado exactamente?

Al presentar los resultados del tercer trimestre, Moynihan explicó cómo gestiona el banco las vulnerabilidades que encuentran los nuevos modelos. Según ITPro y The Next Web, con más detalles en la entrevista de CNBC:

1. 1000 contratistas se sumaron en el segundo trimestre a los cerca de 3000 empleados del banco que ya se dedicaban a ese mismo trabajo.
2. Las vulnerabilidades están en el código del banco y de sus proveedores, no solo en los sistemas internos.
3. Coste: Moynihan habló de «a couple hundred million dollars plus» por trimestre, aunque esa cifra incluye también arreglos en los procedimientos contra el blanqueo de capitales, así que no es solo la factura de Mythos.

«We put on 1,000 contractors to help us do the patching work in the second quarter», dijo Moynihan, y añadió: «Once you patch, you don’t have to patch as much». Es decir, lo peor, al menos según él, ya ha pasado. Aunque yo me pregunto si esto no es más que el principio…

Claude Mythos y sus vulnerabilidades

Claude Mythos es un modelo de Anthropic al que no se puede acceder pagando sin más, ni siquiera por API. La empresa lo presentó el 7 de abril de 2026 dentro de Project Glasswing, un programa que busca usar sus capacidades para la defensa antes de que lo hagan los atacantes.

Anthropic dice abiertamente que Mythos «can surpass all but the most skilled humans at finding and exploiting software vulnerabilities» y que ya ha encontrado miles de vulnerabilidades graves en los principales sistemas operativos y navegadores. Por ahora, la empresa no tiene previsto abrirlo al público.

Han recibido acceso los socios iniciales (entre ellos AWS, Apple, Google, Microsoft, NVIDIA, CrowdStrike y JPMorganChase) y más de 40 organizaciones que mantienen infraestructura de software crítica.

¿Por qué todo el mundo habla de esto?

Porque es un momento clave para nuestra ciberseguridad. Cuando las capacidades de un modelo de IA se traducen en una cifra muy concreta de puestos y de dinero, ya podemos hablar de que la situación es realmente seria. Y Bank of America no es una excepción:

1. Según The Next Web, en mayo Jamie Dimon dijo que en JPMorgan Chase trabajan en este tema a tiempo completo cientos de personas.
2. Aproximadamente un mes después del lanzamiento de Glasswing, los reguladores estadounidenses suspendieron parte de las inspecciones de ciberseguridad para dar tiempo a los mayores bancos a corregir lo que había encontrado el modelo.

Curiosamente, Moynihan también señaló a los proveedores: «the people doing the software development are the people trying to sell us the services». Dicho de otro modo, las vulnerabilidades están (por supuesto) también en el software que el banco compra a terceros (sobre cómo los reguladores europeos vigilan a los grandes laboratorios de IA escribí a propósito de la aplicación de la AI Act).

Conviene tener presente una salvedad: The Next Web aclara que no ha verificado de forma independiente ni el número de contratistas ni los costes, y las informaciones no dicen nada sobre la gravedad de las vulnerabilidades encontradas.

FAQ

¿Se puede usar Claude Mythos?

No de la forma habitual. Mythos Preview solo está disponible para los socios de Project Glasswing y organizaciones seleccionadas, y Anthropic no tiene previsto abrirlo al público.

¿Cuántas personas contrató Bank of America para parchear vulnerabilidades?

Unos 1000 contratistas externos en el segundo trimestre de 2026, junto a unos 3000 empleados propios.

¿Cuánto costó?

Según Moynihan, «a couple hundred million dollars plus» por trimestre, aunque esa cifra incluye también el trabajo de cumplimiento de la normativa contra el blanqueo de capitales.