Un modelo de IA encontró más de 10,000 vulnerabilidades de alta o crítica gravedad en software esencial en aproximadamente 30 días. Algunos de esos errores habían estado ocultos a plena vista durante casi tres décadas.
Project Glasswing, lanzado por Anthropic el 7 de abril de 2026, utiliza un modelo de IA no publicado llamado Claude Mythos Preview para escanear automáticamente bases de código en busca de fallas de seguridad.
Errores que sobrevivieron a sus creadores
Entre las miles de vulnerabilidades descubiertas, dos destacan por la absurda magnitud de su escala. La IA encontró una vulnerabilidad de bloqueo remoto de 27 años en OpenBSD, un sistema operativo construido literalmente en torno a la seguridad como filosofía central. También señaló una falla de 16 años en FFmpeg, el marco multimedia ampliamente utilizado, que había logrado evadir la detección de más de cinco millones de pruebas automatizadas.
El proyecto también no solo encontró errores antiguos. Se identificaron miles de vulnerabilidades de día cero previamente desconocidas en todos los sistemas operativos y navegadores web principales.
Cloudflare, uno de los socios del proyecto, ofreció una visión concreta de los números de su colaboración interna. La empresa informó aproximadamente 2,000 errores detectados a través de la asociación, de los cuales 400 se clasificaron como de severidad alta o crítica. La tasa de falsos positivos fue notablemente más baja que los métodos de detección tradicionales.
Hasta ahora, solo se ha divulgado públicamente una vulnerabilidad con un identificador CVE formal: CVE-2026-4747.
El consorcio detrás de las cortinas
Los socios principales del consorcio incluyen AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, NVIDIA, Palo Alto Networks, Broadcom, la Linux Foundation y JPMorgan Chase. IBM se unió al grupo el 19 de mayo de 2026.
Anthropic ha asignado hasta $100 millones en créditos de cómputo para el proyecto, junto con $4 millones en subvenciones dirigidas a grupos de seguridad de código abierto. El objetivo declarado es defensivo: encontrar las vulnerabilidades antes de que lo hagan las herramientas ofensivas impulsadas por IA.