Desde su lanzamiento, los socios han identificado más de 10.000 fallos de seguridad de alta o crítica gravedad en los sistemas evaluados
Enfoque de decision
Anthropic anunció el 2 de junio de 2026 la expansión del Proyecto Glasswing a aproximadamente 150 nuevas organizaciones en más de 15 países, incluyendo España, Francia, Alemania, India y Japón. Por primera vez, el programa incorpora al sector energético entre sus industrias elegibles, junto con agua, comunicaciones, sanidad y hardware. La señal operativa para Directores de Estrategia Energética es concreta: el estándar de detección activa de vulnerabilidades en infraestructura crítica está a punto de desplazarse, con o sin su participación en el programa.
Resumen en 90 segundos
En los últimos días, anthropic amplía el Proyecto Glasswing de 50 socios iniciales a 150 nuevas organizaciones, abriendo el acceso a sectores de infraestructura crítica, incluida la energía, en más de 15 países. Desde su lanzamiento, los socios han identificado más de 10.000 fallos de seguridad de alta o crítica gravedad en los sistemas evaluados. La compañía estima que un ciberataque importante contra los sistemas de sus socios podría afectar a más de 100 millones de personas, aunque esa cifra proviene de Anthropic y no incluye metodología pública. La expansión llega un día después de que Anthropic autorizara a ENISA a evaluar los riesgos del modelo, y coincide con la presentación confidencial de una solicitud de OPV ante la SEC.
Que esta pasando realmente?
Claude Mythos Preview no es un escáner de vulnerabilidades convencional. Según la descripción pública de Anthropic, el modelo puede identificar y explotar debilidades en todos los principales sistemas operativos y navegadores si se le instruye para ello. Esa capacidad ofensiva controlada es lo que lo hace útil en el marco del Proyecto Glasswing: los socios la emplean para encontrar fallos antes de que los actores maliciosos lo hagan.
El programa operó inicialmente con 50 socios de perfil tecnológico bajo condiciones de acceso muy restringidas. La incorporación de energía, agua y comunicaciones señala que Anthropic considera el modelo suficientemente maduro para entornos con mayor exposición sistémica. El acceso paralelo otorgado a ENISA para evaluación regulatoria antes del lanzamiento comercial general sugiere que la compañía está construyendo cobertura regulatoria en Europa mientras amplía su base de socios —una secuencia que anticipa una comercialización más amplia en el horizonte cercano.
Por que importa para Directores de Estrategia Energética
La inclusión del sector energético en el Proyecto Glasswing genera tres implicaciones operativas que merecen atención directa.
Primero, el umbral de diligencia en ciberseguridad se moverá. Si herramientas de IA capaces de descubrir miles de vulnerabilidades críticas en semanas quedan disponibles para el sector, la postura de seguridad pasiva dejará de ser defensible ante reguladores de valores, financiadores de proyectos y contrapartes con requisitos de due diligence cibernética. Los estándares NERC CIP ya exigen programas de gestión de vulnerabilidades para activos de alta criticidad; la detección asistida por IA podría convertirse, en el mediano plazo, en el punto de referencia esperado por auditores y reguladores.
Segundo, el perfil de riesgo de terceros cambia de forma no obvia. La estimación de Anthropic sobre el impacto potencial en más de 100 millones de personas se refiere específicamente a los sistemas de sus socios actuales. Para un operador de red o una utility, esto implica que proveedores de software OT/IT y socios de integración con acceso a sistemas críticos —que no participen en programas equivalentes de detección— representan un vector de exposición que los marcos de evaluación de terceros vigentes probablemente no están midiendo con esta granularidad.
Tercero, la IPO en proceso cambia el incentivo de Anthropic. Una vez que la compañía cotice, la presión comercial para ampliar el acceso a Mythos más allá del entorno controlado del Proyecto Glasswing se intensificará. Los operadores que construyan capacidad de evaluación interna ahora tendrán ventaja cuando el modelo —o sus equivalentes competitivos— estén disponibles en condiciones de mercado abierto.
Perspectiva a futuro
Tres frentes merecen seguimiento activo durante los próximos seis a doce meses.
El primero es la respuesta regulatoria europea. ENISA tiene acceso a Mythos para evaluar sus riesgos antes del lanzamiento general. Si ese proceso concluye con recomendaciones de uso supervisado para infraestructura crítica, los operadores europeos y aquellos con exposición al marco del AI Act deberán incorporar esa capa regulatoria a sus procesos de evaluación tecnológica y contratos de proveedor.
El segundo es la velocidad de comercialización post-OPV. La presentación confidencial del S-1 ante la SEC indica que Anthropic se prepara para un acceso de mercado mucho más amplio. A medida que herramientas de detección ofensiva con IA se vuelvan más accesibles, el panorama de amenazas para cualquier operador de infraestructura crítica se ampliará, independientemente de si participa en el Proyecto Glasswing.
El tercero es la posible estandarización sectorial de benchmarks de vulnerabilidades. Si los hallazgos agregados del programa —más de 10.000 fallos críticos identificados— generan con el tiempo reportes sectoriales, incluso parciales, podrían influir en los requisitos de divulgación de riesgo cibernético que reguladores de valores ya están endureciendo para utilities cotizadas en EE.UU. y Europa.
Lo que aun es incierto
La fuente no especifica los criterios exactos de elegibilidad para organizaciones del sector energético dentro del Proyecto Glasswing, ni confirma si socios energéticos ya están incorporados o en proceso de selección. La lista de países publicada cubre Europa occidental, India, Japón y Corea del Sur, pero no incluye explícitamente mercados de América Latina, dejando abierta la cobertura para operadores con activos en esa región. La estimación de impacto en 100 millones de personas proviene de la propia Anthropic y no incluye metodología pública ni sistemas específicos evaluados, lo que impide una comparación directa con el perfil de riesgo de una utility concreta. Tampoco está confirmado si el acceso de ENISA producirá restricciones formales antes del lanzamiento comercial o solo recomendaciones no vinculantes.
Una pregunta para tu equipo
¿Tiene tu organización un proceso activo de evaluación de vulnerabilidades en sistemas OT/IT que sea suficientemente robusto para responder ante un regulador, un financiador o una contraparte de M&A cuando la detección asistida por IA se convierta en el nuevo punto de referencia del sector?
Fuentes
- Bolsamania — Anthropic amplía el acceso a Mythos a más de 15 países, entre ellos España – Bolsamania.com (Link)
