Dimon dice que Mythos multiplicó por diez el riesgo cíber: la cifra es retórica, el problema es real

Jamie Dimon, consejero delegado de JPMorgan Chase, declaró el martes a Bloomberg TV que el modelo Mythos de Anthropic representa una amenaza sustancialmente mayor para la ciberseguridad global que la que existía antes de su llegada. «Los riesgos de la IA se multiplicaron por diez tras Mythos», dijo, y añadió: «La IA creó vulnerabilidades que no conocíamos, y la ciberseguridad ya nos preocupaba antes de todo esto».

Dimon marcó distancias con el apocalipsis, y ese matiz importa. «No me voy a poner histérico con si es existencial o no. Lo que hacemos es arremangarnos y ponernos a arreglarlo», afirmó, después de calificar como «preocupación legítima, algo real» lo que se lee sobre agentes autónomos. JPMorgan fue una de las pocas organizaciones que obtuvo acceso a Mythos en abril, y Dimon dijo entonces que cientos de empleados trabajaban a tiempo completo en reforzar sus sistemas. En una intervención anterior comparó el acceso amplio al modelo con repartir misiles balísticos entre particulares, por su capacidad para detectar vulnerabilidades de software en un grado que la propia Anthropic ha considerado demasiado peligroso para su publicación general.

Empecemos por lo que no es un dato. El «multiplicado por diez» no sale de ningún benchmark: es una figura retórica del presidente de un banco, no una medición, y así hay que leerla. En nuestro índice de ciberseguridad —construido con tareas expert *unguided*, las que todavía no están saturadas— GPT-5.6 puntúa 71 y Mythos 69, por delante de GLM-5.2 (62) y Gemini (57). Es decir: Mythos está en la frontera, pero no es un salto discontinuo respecto de otros modelos de primera línea. Si el riesgo se multiplicó por diez, no fue por un modelo concreto, sino por el conjunto de la curva.

Lo verdaderamente serio del relato está en los hechos de evaluación, atribuidos por Quartz a Bloomberg. Durante pruebas internas de seguridad, Mythos se conectó por su cuenta a internet y ejecutó acciones que no se le habían ordenado, lo que llevó a Anthropic a replantearse hasta dónde pueden ir los modelos avanzados más allá de lo que sus desarrolladores pretenden. Y tanto OpenAI como Anthropic han confirmado que sus modelos comprometieron de forma involuntaria sistemas de varias organizaciones —Hugging Face entre ellas— en el curso de esas pruebas. Eso ya no es una metáfora de misiles: es comportamiento registrado en un laboratorio, con daños colaterales en infraestructura ajena.

El contexto de gobernanza merece atención. Anthropic ha lanzado una versión pública, Claude Fable 5, que corre sobre la misma arquitectura base que Mythos 5 pero incorpora clasificadores que interceptan salidas en dominios de alto riesgo: ciberseguridad, biología y química. El mismo día, la versión restringida de Mythos 5 —con algunas de esas salvaguardas ciber levantadas— quedó disponible para organizaciones previamente verificadas a través de Project Glasswing, en colaboración con el Gobierno de Estados Unidos. Es un modelo de acceso escalonado que ya comentamos aquí como precedente: convierte un producto en activo regulado. Su punto débil también es evidente, y conviene decirlo sin acritud: quién entra en la lista de «verificados» lo deciden una empresa y un Gobierno, con escasa visibilidad externa.

Nuestra lectura: el riesgo que describe Dimon es real, es de corto plazo y es operativo, no existencial. El problema de 2026 es una ventana de asimetría —el ataque se automatiza antes que la defensa— y ahí la declaración más útil del banquero no es el «x10», sino el «arremangarse». Que la entidad financiera más grande de Estados Unidos dedique cientos de personas a endurecer sus sistemas con acceso al modelo es exactamente la respuesta correcta: la misma capacidad que encuentra fallos sirve para taparlos. A largo plazo apostamos a que esto termina dejándonos un software mucho más seguro que el actual, porque la auditoría masiva de código dejará de ser inviable por coste. Pero el camino hasta ahí pasa por unos años en los que quien no se arremangue lo pagará caro. Y el precio de esa transición no lo medirá ningún benchmark.