Imagine una herramienta tan poderosa para encontrar agujeros de seguridad que su creador la mantiene bajo llave. Pues ese es el Anthropic’s Mythos Preview, y Mozilla acaba de revelar cómo lo usó para parchear 271 vulnerabilidades en Firefox 150. ¿La mejor parte? Un grupo de ‘detectives’ de Discord consiguió acceso no autorizado… usando métodos sorprendentemente simples.

¿Cómo Mozilla usó la IA para arreglar Firefox?

En medio del debate sobre el impacto de la IA en la ciberseguridad, Mozilla anunció que su versión Firefox 150 incluye parches para esas 271 vulnerabilidades identificadas con acceso anticipado al Mythos Preview. No fue fácil: el equipo de Firefox tuvo que adaptarse al verdadero diluvio de bugs que estas herramientas de IA pueden descubrir.

“Nuestra creencia es que las herramientas han cambiado las cosas drásticamente, porque ahora tenemos técnicas automatizadas que pueden cubrir, hasta donde podemos ver, todo el espacio de bugs que inducen vulnerabilidades”, dice Bobby Holley, CTO de Firefox, a WIRED.

Holley señala que las capacidades emergentes de la IA crearán una especie de campo de entrenamiento por el que todo el software tendrá que pasar. La pregunta es quién tiene acceso primero: los defensores o los atacantes.

La gran advertencia de Mozilla

Aquí está el detalle crucial. Holley advierte que esta transición requiere enfoque coordinado y muchos recursos. «He hablado con líderes de ingeniería en empresas muy grandes que dicen que van a sacar a miles de ingenieros de todo para trabajar en esto durante los próximos seis meses», revela.

Pero el mayor desafío es para los proyectos de código abierto más pequeños. Muchos son mantenidos por voluntarios o una sola persona, y ahora necesitan no solo acceso a estas herramientas, sino también la capacidad de actuar sobre lo que descubran.

El Mythos se ‘filtra’… en Discord

Pero espera, hay más. Anthropic había restringido cuidadosamente el acceso a Mythos, considerándolo una herramienta peligrosamente capaz. Sin embargo, un grupo de investigadores aficionados en Discord encontró formas relativamente simples de acceder sin autorización.

Según Bloomberg, estos ‘detectives’ examinaron datos de una brecha reciente en Mercor, una startup de entrenamiento de IA, e «hicieron una conjetura educada sobre la ubicación en línea del modelo basándose en el formato que Anthropic ha usado para otros modelos». Básicamente, adivinaron una URL.

Un miembro también aprovechó permisos que ya tenía para acceder a otros modelos de Anthropic, gracias a su trabajo para una empresa contratista de la compañía. Afortunadamente, el grupo que accedió a Mythos solo lo ha usado para construir sitios web simples, una decisión tomada para evitar ser detectados.

¿Qué significa esto para el futuro?

La experiencia de Mozilla sugiere que las herramientas de IA cambiarán profundamente la caza de vulnerabilidades a corto plazo. Raffi Krikorian, CTO de Mozilla, argumentó en The New York Times que incluso con gestos de empresas como Anthropic, la llegada de estas capacidades perpetuará dinámicas problemáticas.

“La economía subyacente no ha cambiado”, escribió Krikorian. “La infraestructura de software más valiosa del mundo sigue siendo mantenida por personas que trabajan gratis, mientras que las empresas que construyen fortunas encima nunca tuvieron que pagar por su mantenimiento”.

En otras palabras: los que tienen recursos se protegerán primero, mientras otros quedarán vulnerables.

Un momento decisivo para el código abierto

Firefox es código abierto, un tipo de software particularmente impactado por estas nuevas capacidades. Holley es realista: «En última instancia, el tema del código abierto es un problema humano. Solo se puede escalar hasta cierto punto con la tecnología; hace falta que toda la industria y todos se unan».

Mozilla está trabajando formal e informalmente con tantos mantenedores como puede para compartir conocimiento y herramientas. Pero el mensaje es claro: la ciberseguridad acaba de entrar en una nueva era, y no todos están igual de preparados para el viaje.

¿Está tu software favorito listo para el ‘bootcamp’ de la IA?