ANÁLISIS-Los hackeos potenciados por IA con Mythos de Anthropic podrían tener consecuencias nefastas para los bancos

Por AJ Vicens y Raphael Satter

13 abr (Reuters) - Mythos de Anthropic, un nuevo modelo de inteligencia artificial que la empresa y los expertos en ciberseguridad advierten que podría potenciar los ciberataques complejos, plantea importantes retos al sector bancario, con sus sistemas tecnológicos heredados, según afirmaron los expertos en los días posteriores al anuncio del modelo.

El modelo, anunciado el 7 de abril, es "el más capaz hasta ahora de la empresa para tareas de codificación y agenética", dijo la empresa en una entrada de blog, refiriéndose a la capacidad del modelo para actuar de forma autónoma.

Según los expertos, su capacidad para codificar a alto nivel le ha dado una capacidad potencial sin precedentes para identificar vulnerabilidades de ciberseguridad e idear formas de explotarlas.

Según TJ Marlin, director ejecutivo de la empresa de seguridad de inteligencia artificial Guardrail Technologies, se trata de un problema especial para los bancos y otras instituciones financieras, que utilizan pilas tecnológicas que integran herramientas de última generación con software de décadas de antigüedad, lo que puede abrir un gran número de vulnerabilidades.

Marlin dijo que Mythos Preview puede "mirar a través de una arquitectura muy compleja, incluyendo esta infraestructura heredada donde, francamente, estas vulnerabilidades y complejidades no descubiertas son ahora accesibles y factores de amenaza."

El sector bancario también está estrechamente relacionado, ya que muchas empresas utilizan el mismo conjunto limitado de programas informáticos para dar de alta a los clientes, realizar comprobaciones de conocimiento del cliente y gestionar las transacciones.

"Como es un sector muy especializado y muy regulado, hay muchas interconexiones informáticas", afirma Naresh Raheja, consultor de San Francisco que trabajó anteriormente en la Oficina del Interventor de la Moneda. "Muchos bancos utilizan los mismos proveedores y las mismas soluciones".

Marlin dijo que eso podría actuar como un multiplicador de fuerza para las brechas, haciendo que cualquier explotación impulsada por IA sea "potencialmente catastrófica a escala."

Funcionarios gubernamentales de al menos tres países -Estados Unidos, Canadá y Gran Bretaña- se han reunido con altos cargos del sector bancario para analizar las amenazas que plantea Claude Mythos Preview.

El Tesoro de Estados Unidos dijo que la administración de Donald Trump estaba presionando a las instituciones financieras "para comprender y anticipar una amplia gama de desarrollos del mercado" y que se planeaban más reuniones en torno al tema. Anthropic declinó hacer comentarios más allá de su anuncio del 7 de abril.

Anthropic ha dicho que Claude Mythos Preview no se pondrá a disposición general. En su lugar, la empresa anunció el Proyecto Glasswing, en el que invitó a las principales empresas tecnológicas, proveedores de ciberseguridad y JPMorgan Chase, junto con varias docenas de otras organizaciones, a evaluar en privado el modelo y preparar las defensas en consecuencia.

IDENTIFICAR VULNERABILIDADES

Claude Mythos Preview es capaz de identificar y explotar vulnerabilidades no descubiertas previamente en los principales sistemas operativos y navegadores web, según explicó la empresa al anunciar el Proyecto Glasswing.

En un blog técnico publicado junto con el anuncio principal, los investigadores de Anthropic describen cómo Mythos Preview identificó "miles" de vulnerabilidades de gravedad alta y crítica, lo que significa que los objetivos podrían sufrir graves consecuencias como resultado, incluido el compromiso de datos y operaciones.

Los investigadores describieron cómo el modelo identificó una vulnerabilidad de 16 años de antigüedad en la biblioteca de software FFmpeg, ampliamente utilizada, un programa de código abierto utilizado para procesar archivos de audio y vídeo, y cómo identificó un error en un programa de monitorización de máquinas virtuales sin nombre, que permite a los usuarios crear ordenadores virtuales segregados dentro del suyo propio de formas que se supone que protegen el sistema anfitrión.

Una coalición de la Cloud Security Alliance formada por ejecutivos de ciberseguridad y ex altos funcionarios del gobierno de EE.UU. advirtió en una sesión informativa sobre estrategia del 12 de abril que Mythos representa "un cambio de paso" en la trayectoria de los modelos de IA capaces que "reduce el coste y el suelo de habilidades para descubrir y explotar vulnerabilidades más rápido de lo que las organizaciones pueden parchearlas."

Costin Raiu, un investigador de seguridad de larga data y cofundador de la firma de ciberseguridad TLPBLACK, dijo en una entrevista que la industria bancaria tiene sistemas clave de tecnología heredada lanzados inicialmente hace décadas que se han actualizado muchas veces a lo largo de los años, señalando productos producidos por firmas como IBM, como ejemplo.

"Un modelo como Mythos se lo pasaría en grande encontrando exploits" en ciertos sistemas de IBM, dijo Raiu, señalando ejemplos de investigación de vulnerabilidades relacionadas con IBM. "Y es sólo un ejemplo de tecnologías antiguas que impulsan la industria financiera".

En una entrada de blog publicada el 9 de abril, IBM afirmó que Mythos está "obligando a los equipos de seguridad de las empresas a replantearse sus defensas desde cero", y abogó por un enfoque más de código abierto, en el que más empresas e investigadores tengan acceso al modelo para que todo el mundo esté más seguro. La empresa no respondió a las peticiones de comentarios.

JPMorgan Chase dijo en un comunicado la semana pasada que formaba parte de un grupo de empresas líderes que estaban evaluando Mythos en privado, algo que calificó como "una oportunidad única, en fase inicial, para evaluar herramientas de IA de próxima generación para la ciberseguridad defensiva en toda la infraestructura crítica." La empresa no devolvió el mensaje.

Wells Fargo tampoco respondió a un mensaje. FS-ISAC, la organización sin ánimo de lucro que trabaja para impulsar la ciberseguridad del sistema financiero mundial, no respondió a las preguntas escritas.

Bank of America, Citibank, la American Bankers Association y la Consumer Bankers Association declinaron hacer comentarios.