Un bug que permaneció oculto durante 27 años
OpenBSD es uno de los sistemas operativos más utilizados para infraestructuras críticas en el mundo. Es conocido por su atención obsesiva a la seguridad. Décadas de revisiones manuales, miles de ojos expertos sobre el código.
Claude encontró una vulnerabilidad que llevaba allí 27 años.
En el mismo período identificó un bug en FFmpeg — una biblioteca utilizada por miles de millones de dispositivos para la gestión de vídeo y audio — que había superado cinco millones de pruebas automatizadas sin ser detectado. Y una serie de vulnerabilidades en el kernel Linux y en FreeBSD, incluida una Remote Code Execution que permite escribir contenido arbitrario en la pila del sistema.
No son exploits construidos en laboratorio. Son fallos en software que corre en servidores, smartphones, infraestructuras financieras, hospitales. El hecho de que hayan sido encontrados por un modelo de IA es un cambio de paradigma en la seguridad informática.
Qué es Project Glasswing y por qué nació
Project Glasswing es la iniciativa con la que Anthropic ha decidido usar estas capacidades de forma proactiva y colaborativa.
El objetivo es proteger el software crítico mundial — aquel sobre el que se sustentan las infraestructuras digitales globales — usando Claude para encontrar vulnerabilidades antes de que lo hagan actores maliciosos.
La idea de fondo es simple: la IA que hace posible encontrar estas vulnerabilidades es la misma IA que podría ser usada para explotarlas. Mejor usarla en defensa, de forma coordinada y transparente, con divulgaciones responsables a los mantenedores del software afectado.
Quién participa y cuánto se está invirtiendo
La lista de socios de Glasswing se lee como un directorio de los principales actores tecnológicos mundiales: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks.
No se trata de respaldos simbólicos. Las cifras comprometidas son concretas: 100 millones de dólares en créditos de IA puestos a disposición del proyecto, 2,5 millones a la Linux Foundation y a la Open Source Security Foundation, 1,5 millones a la Apache Software Foundation.
Estas organizaciones gestionan el código sobre el que se sustenta internet: el kernel Linux, Apache, decenas de bibliotecas fundamentales usadas por casi todas las aplicaciones de software existentes. Introducir la IA en este ecosistema es una decisión con efectos en cascada sobre todo el software mundial.
La IA acelera más rápido de lo que parece. ¿Estás listo?
30 minutos para discutir tu caso específico.
Qué ha encontrado hasta ahora
Más allá de los casos ya citados, las capacidades demostradas por Claude en el marco de Glasswing son técnicamente relevantes. Buffer overflow, vulnerabilidades use-after-free, heap corruption — las categorías de fallos más peligrosas en los sistemas modernos.
Lo que llama la atención no es solo la capacidad de encontrar estos bugs, sino de hacerlo en sistemas hardened con todas las protecciones modernas activas: aleatorización de memoria, protección de pila, aplicación de la no ejecución de datos.
En el momento de la publicación de los resultados, más del 99 % de las vulnerabilidades encontradas seguía abierta. Eso significa que durante meses — a veces años — esas brechas estaban ahí, explotables por cualquiera que las descubriera primero.
Por qué Anthropic publica en vez de guardar el secreto
Es una pregunta legítima. Si tienes un modelo de IA capaz de encontrar vulnerabilidades en los sistemas más seguros del mundo, ¿por qué anunciarlo públicamente?
La respuesta de Anthropic es coherente con su filosofía: la transparencia es más segura que el secreto. Las capacidades ya existen — ocultarlas no las elimina, solo las hace menos predecibles. Hacerlas públicas permite a la industria prepararse y coordinar las defensas.
Hay también una consideración práctica: una IA que encuentra vulnerabilidades puede ser usada por cualquiera que tenga acceso a modelos suficientemente avanzados. La estrategia de Anthropic es elegir la defensa proactiva en lugar de la oscuridad.
La señal para las empresas españolas
Project Glasswing no es relevante solo para los equipos de seguridad informática. Es una señal sobre la velocidad a la que la IA está transformando sectores y procesos que parecían estables.
Si la IA ya es capaz de hacer esto en la seguridad del software, ¿qué está pasando en los análisis financieros, en la revisión legal, en la automatización industrial? La respuesta es: mucho más de lo que la mayoría de las empresas está considerando.
El riesgo no es tecnológico. Es estratégico. Quien empieza a entender cómo integrar estas herramientas hoy construye una ventaja que se acumula con el tiempo. Quien espera encuentra una brecha cada vez más difícil de cerrar. Con Maverick AI ayudamos a las empresas a entender por dónde empezar y a medir el retorno desde el primer proyecto.