CISA audita su propio código con la IA de Anthropic mientras la Casa Blanca sigue enfrentada a la empresa

Por Reuters · 6 de julio de 2026. El equipo de Evaluación de Superficie de Ataque de CISA, la agencia estadounidense de ciberdefensa, está utilizando Mythos —el modelo de Anthropic descrito como extremadamente capaz para encontrar y explotar vulnerabilidades de ciberseguridad— para auditar repositorios de código del gobierno federal en busca de fallos que podrían abrir la puerta a espías extranjeros y ciberdelincuentes. Según tres fuentes citadas por Reuters, las auditorías ya han destapado un número considerable de vulnerabilidades, aunque no se ha precisado su gravedad ni cuánto código se ha revisado. Ni Anthropic ni CISA han confirmado detalles del programa.

Lo llamativo del caso es el contexto político en el que ocurre. Anthropic mantiene una relación turbulenta con Washington: en febrero, tras negarse a retirar las salvaguardas que impiden que su IA se use para armas autónomas o vigilancia doméstica, el Pentágono le impuso una designación formal de riesgo en la cadena de suministro, una etiqueta reservada hasta entonces para empresas extranjeras sospechosas de facilitar espionaje. Un juez bloqueó esa medida en marzo, pero la tensión no ha desaparecido del todo: cuando Anthropic lanzó la versión pública de Mythos (bautizada Fable, con salvaguardas de ciberseguridad incorporadas), la Casa Blanca exigió de forma repentina que se prohibiera su uso a usuarios extranjeros, lo que provocó un apagón global del modelo que solo se levantó la semana pasada. Mientras tanto, la NSA ya usaba Mythos desde abril pese a la lista negra, según había reportado Axios, y analistas de la agencia habrían quedado impresionados con sus capacidades en entornos clasificados, de acuerdo con The New York Times.

Esta contradicción —bloquear a una empresa por motivos de seguridad nacional mientras dos de las agencias más sensibles del país dependen operativamente de su producto— no es un despiste burocrático aislado, sino el síntoma de algo más estructural: cuando una tecnología alcanza un nivel de capacidad real y verificable, la política tiende a ir por detrás de la necesidad operativa. Nuestros propios índices de ciberseguridad (que priorizan tareas expertas no saturadas, no benchmarks donde todo el mundo saca sobresaliente) sitúan a los modelos de Anthropic entre los más fuertes del sector en detección de vulnerabilidades, junto a los de OpenAI. Que sea precisamente esa capacidad la que ahora protege infraestructura crítica estadounidense, mientras la Casa Blanca discute con la empresa por otros motivos, confirma que en IA la geopolítica y la ingeniería avanzan por carriles distintos, y a menudo enfrentados.

Hay además una tensión de fondo que merece nombrarse: una herramienta capaz de encontrar y explotar vulnerabilidades con esa eficacia es, por diseño, de doble uso. Lo que hoy audita código gubernamental para blindarlo mañana podría —en otras manos, sin las mismas salvaguardas— usarse para atacarlo. Esa es exactamente la lógica que llevó al Pentágono a poner a Anthropic en la lista de riesgo, y la misma que hoy hace que CISA y la NSA no puedan permitirse prescindir de la herramienta. No es una contradicción resoluble con un comunicado de prensa; es el tipo de dilema que definirá la gobernanza de la IA de seguridad nacional en los próximos años, y que exige reglas más maduras que un tira y afloja político según qué agencia gane la discusión interna esa semana.

A más largo plazo, el episodio refuerza una tesis que venimos sosteniendo: la IA aplicada a ciberseguridad puede inclinar la balanza hacia la defensa, si se despliega con criterio y transparencia, ayudando a blindar infraestructuras críticas antes de que lo hagan actores hostiles. Pero ese beneficio solo se materializa si los gobiernos dejan de tratar a sus proveedores más capaces como sospechosos y colaboradores al mismo tiempo. Anthropic, que ya ha presentado confidencialmente su solicitud de salida a bolsa, tiene ahora un argumento de peso frente a Washington: no es solo un laboratorio de investigación con escrúpulos incómodos, es una pieza que la maquinaria de seguridad nacional estadounidense ya no puede sacar del tablero sin coste.