La ciberseguridad es prueba de trabajo: quién gasta más tokens

La ciberseguridad se está convirtiendo en un problema de cómputo: en los entornos de ataque del AI Security Institute del Reino Unido, los mejores modelos siguieron avanzando cuantos más tokens gastaban, lo que, según la lectura de Drew Breunig, convierte la defensa en una carrera por gastar más que el atacante. En abril de 2026 un solo modelo, Claude Mythos Preview, completó el entorno de ataque de 32 pasos contra una red corporativa del instituto en 3 de 10 intentos.¹ Para julio, el AISI contaba cuatro modelos de pesos cerrados lanzados públicamente que lo habían completado, los mejores en 6 y 7 de 10 intentos, y un modelo de pesos abiertos, Kimi K3, que lo completó una vez en 10.⁷ La premisa que sostiene la lectura de Breunig, que más tokens compran más avance en los mejores modelos, se ha mantenido. El precio que él le puso a cada intento, no.²

Este artículo se publicó por primera vez el 14 de abril de 2026, el día después del primer informe del AISI. El 2 de octubre de 2026 lo reconstruí a partir de lo que el AISI, el CAISI del NIST y Anthropic han publicado desde entonces. Lo que decía la versión de abril, y dónde ha quedado desactualizada, figura en “Lo que decía la versión de abril”, cerca del final.

TL;DR

• El entorno. “The Last Ones” es un ataque simulado contra una red corporativa: 32 pasos repartidos en cuatro subredes y unos veinte equipos, que según la estimación del AISI le llevarían a un experto humano unas 20 horas. Empieza después del acceso inicial y no tiene defensores.¹⁴
• Quién lo completa. Un modelo en abril. Dos a finales de abril. Al 23 de julio, cuatro modelos de pesos cerrados lanzados públicamente y un modelo de pesos abiertos.¹⁴⁷
• Cuánto cuesta un intento. Los $12.500 por intento de Breunig eran una estimación: el presupuesto de 100M de tokens del AISI multiplicado por el precio de salida de Mythos Preview. Cuando el AISI puso precio en julio a ejecuciones de 100M de tokens en el entorno, salieron unos $85 para Opus 4.5 y 4.6 y unos $46 estimados para GLM-5.2, de pesos abiertos.²⁶¹⁰
• Quién puede ejecutarlo. El AISI sitúa a los principales modelos de pesos abiertos entre 4 y 7 meses por detrás de la frontera cerrada en ciberseguridad. Anthropic informa que GLM-5.3, que cualquiera puede descargar, construye exploits completos aproximadamente al mismo ritmo que Mythos Preview en un benchmark público.⁶⁹
• Sin meseta en la frontera. Para los modelos más fuertes, los informes de abril y mayo del AISI encontraron que el rendimiento seguía subiendo al llegar al límite de 100M de tokens. Los modelos más débiles se estancaron, entre ellos GLM-5.2, de pesos abiertos.¹⁴⁵⁶
• La salvedad que sigue vigente. Los entornos no tienen defensa. El AISI dice que no puede saber cómo estas capacidades “will translate against defended, real-world systems” (se trasladarán a sistemas reales defendidos).⁵

Qué midió el AISI y cómo cambió

Los entornos de ciberseguridad del AISI ponen a prueba si un modelo puede llevar a cabo un ataque completo por sí solo. “The Last Ones” (TLO), construido con SpecterOps, está “modelled on the kill chain of an enterprise intrusion” (modelado sobre la cadena de ataque de una intrusión empresarial): el agente parte de una máquina sin privilegios y sin credenciales, y tiene que encadenar reconocimiento, robo de credenciales, movimiento lateral entre bosques de Active Directory, un pivote por la cadena de suministro de CI/CD y la exfiltración de una base de datos interna. Cada intento dispone de un presupuesto de 100M de tokens.⁴

Cinco informes publicados entre abril y julio cuentan la historia:

El informe del 23 de julio resume la situación: “Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.” (Completar TLO ya no es exclusivo de unos pocos modelos: cuatro modelos de pesos cerrados lanzados públicamente lo han resuelto, los más capaces en 6 y 7 de 10 intentos).⁷ No nombra a los cuatro ni dice si Mythos Preview, un lanzamiento restringido, está entre ellos.

El segundo entorno también cambió. En abril ningún modelo pudo completar “Cooling Tower”, un ataque de 7 pasos contra una central eléctrica simulada, y el AISI señaló que Mythos Preview “got stuck on IT sections of this range” (se atascó en las secciones de TI del entorno). El 13 de mayo el AISI informó que el checkpoint más reciente de Mythos Preview lo resolvió en 3 de 10 intentos, “the first time that a model completed the second of our two cyber ranges” (la primera vez que un modelo completaba el segundo de sus dos entornos). El AISI sacó una lección de eso: “Notable capability jumps do not always require new model releases.” (Los saltos notables de capacidad no siempre requieren lanzar modelos nuevos).¹⁴⁵

Hay dos hallazgos debajo de todo esto. Primero, en los mejores modelos, más tokens compraron más avance en todos los casos. Abril: “Models continue making progress with increased token budgets across the token budgets tested.” (Los modelos siguen avanzando al aumentar el presupuesto, en todos los presupuestos probados). 30 de abril: “we have not yet observed a plateau with the best models” (todavía no hemos observado una meseta en los mejores modelos). Mayo: el rendimiento “would likely still improve beyond that budget, especially for recent models” (probablemente seguiría mejorando más allá de ese presupuesto, sobre todo en los modelos recientes).¹⁴⁵ No se cumple para todos los modelos: en julio, GLM-5.2 siguió el ritmo de Opus 4.6 “to step 11 before stalling” (hasta el paso 11 antes de estancarse).⁶ Segundo, el ritmo es rápido. En febrero el AISI estimó que la longitud de las tareas de ciberseguridad que un modelo de frontera puede completar “had doubled every 4.7 months since late 2024” (se había duplicado cada 4,7 meses desde finales de 2024), y en mayo informó que Mythos Preview y GPT-5.5 “substantially exceeded” (superaron con creces) esa tendencia.⁵ Esa estimación usa un presupuesto de 2,5M de tokens por tarea. El análisis del AISI del 2 de julio encontró la tendencia “~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task” (alrededor de un 60 % más pronunciada con 50M de tokens por tarea en lugar de 2,5M).¹³

Cuánto cuesta un intento

Breunig tradujo el resultado de abril a dinero: “AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.” (El AISI presupuestó 100M de tokens por intento: $12.500 por intento de Mythos, $125.000 por las diez ejecuciones).² La primera versión de este artículo puso esa cifra en el título.

Era una estimación, y alta. $12.500 por 100M de tokens son $125 por millón, que es el precio de lista de Mythos Preview para los tokens de salida. Su precio de entrada es de $25.¹⁰ Cobrar cada token del presupuesto a la tarifa de salida da un techo, no una factura.

El AISI publicó precios en julio, en su informe sobre modelos de pesos abiertos: “A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.” (Una ejecución de 100M de tokens costó unos $85 tanto con Opus 4.5 como con 4.6, frente a unos $46 estimados con GLM-5.2 y $1,19 con DeepSeek V4-Pro a precios actuales).⁶ Son “advertised first-party prices” (precios anunciados por los propios proveedores), y el AISI aclara que no usó a los proveedores originales para los modelos de pesos abiertos, “so real compute costs may vary” (así que los costos reales de cómputo pueden variar).

Tres cosas impiden que esas cifras sean el precio de un ataque completado. Ninguno de los modelos con precio completó el entorno. Mythos Preview cuesta, según su precio de lista, cinco veces lo que Opus por token, así que sus ejecuciones salen más caras que las de Opus. Y el AISI no ha publicado el precio de ninguna ejecución que completara TLO, así que no puedo decir cuánto cuesta una. Lo que sí muestran las ejecuciones con precio es el orden de magnitud. La de Opus 4.6 salió por unos $85. Escalada por el precio de lista cinco veces mayor de Mythos Preview, eso da unos pocos cientos de dólares, cálculo que es mío y no del AISI, y muy por debajo de $12.500.⁶¹⁰

Los datos más pequeños coinciden. En el informe del AISI del 30 de abril, GPT-5.5 resolvió un desafío de ingeniería inversa que a un experto le había llevado unas 12 horas “in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage” (en 10 minutos y 22 segundos, sin ayuda humana, con un costo de $1,73 en uso de la API).⁴ En el informe de Anthropic de septiembre, un investigador hizo que GLM-5.3-Flash convirtiera los detalles públicos de un parche de Chrome en una cadena de exploits funcional con “20 minutes of human attention, plus eight hours of work” (20 minutos de atención humana más ocho horas de trabajo) del modelo. “At Zhipu’s API prices, this effort would have cost $20.40.” (A los precios de la API de Zhipu, el esfuerzo habría costado $20,40).⁹ Cada uno es una sesión con precio, no una tarifa.

Los precios de la clase Mythos también han bajado. La página de precios de Anthropic lista ahora Mythos 5 y Mythos 5.1 a $10 por millón de tokens de entrada y $50 por millón de salida, frente a $25 y $125 de Mythos Preview.¹⁰

Quién puede ejecutarlo

En abril la capacidad estaba detrás de un lanzamiento restringido. Es lo que más ha cambiado.

El informe del AISI del 17 de julio midió la distancia entre los modelos de pesos abiertos y los cerrados en ciberseguridad y la encontró cada vez menor: los modelos de pesos abiertos recientes “lag frontier closed models’ cyber capabilities by 4 to 7 months” (van entre 4 y 7 meses por detrás de los modelos cerrados de frontera), frente a 6 a 10 meses durante la mayor parte de 2025. Explica por qué importa esa distancia. Una vez públicos los pesos, “safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring” (las salvaguardas pueden eliminarse, y las copias pueden descargarse, redistribuirse y ejecutarse en sistemas privados fuera de toda vigilancia). Las propias pruebas del AISI con modelos de pesos abiertos “were largely unimpeded by safeguards” (apenas encontraron obstáculos en las salvaguardas).⁶

GLM-5.2 no completó el entorno. Seis días después, Kimi K3 lo completó una vez en diez intentos. El AISI y el CAISI interpretaron que el modelo “is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access” (es capaz de atacar de forma autónoma sistemas empresariales pequeños, poco defendidos y vulnerables, cuando se le indica y se le da acceso inicial a la red).⁷

Después llegó GLM-5.3, cuyos pesos Z.ai (antes Zhipu AI) publicó a finales de agosto. El CAISI lo calificó el 17 de septiembre como “the most cyber-capable open-weight model released to date” (el modelo de pesos abiertos más capaz en ciberseguridad publicado hasta la fecha) y lo situó unos cuatro meses por detrás de la frontera estadounidense en sus benchmarks.⁸ El Frontier Red Team de Anthropic informó el 29 de septiembre que GLM-5.3 desarrolla exploits completos en ExploitBench en 50 de 410 intentos, frente a 56 de Mythos Preview, y secuestros completos del flujo de control en el benchmark interno de Anthropic en el 4 % de los intentos, frente al 6 %.⁹

Las salvaguardas son endebles. Anthropic las eludió el 64 % de las veces con una historia de cobertura y el 92 % con razonamiento precargado. Quitarlas directamente de los pesos le llevó a un equipo “which had never previously attempted this task” (que nunca antes había intentado esta tarea) unas 2.200 horas de GPU, “roughly $4,400” (unos $4.400), con una estimación de $1.200 para un equipo experimentado, y “Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.” (Varios desarrolladores publicaron versiones de GLM-5.3 sin salvaguardas a los pocos días del lanzamiento).⁹ El artículo sobre Glasswing trata ese informe con más detalle.

No he encontrado ninguna ejecución publicada de GLM-5.3 en TLO. Lo que puedo sostener es más acotado: un modelo de pesos abiertos ha completado el entorno, y uno más nuevo iguala al modelo restringido de abril en la construcción de exploits en un benchmark público.

El argumento de Breunig, seis meses después

La tesis de Breunig cabía en una frase: “to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them” (para blindar un sistema hay que gastar más tokens descubriendo exploits que los que gastarán los atacantes explotándolos). La comparó con la prueba de trabajo de las criptomonedas, “where success is tied to raw computational work” (donde el éxito depende del trabajo computacional bruto), y lo dijo sin rodeos: “You don’t get points for being clever. You win by paying more.” (No te dan puntos por ser listo: ganas pagando más).²

Sacó dos consecuencias. La primera tiene que ver con el código abierto. Si la seguridad es cuestión de gasto, la ley de Linus, “given enough eyeballs, all bugs are shallow” (con suficientes ojos, todos los errores son superficiales), se extiende a los tokens: las bibliotecas que muchas empresas pagan por asegurar estarán mejor aseguradas que el código que un equipo mantiene en solitario. Simon Willison dijo lo mismo ese mismo día: las bibliotecas de código abierto “become more valuable, since the tokens spent securing them can be shared across all of their users” (ganan valor, porque los tokens gastados en asegurarlas se comparten entre todos sus usuarios).²³ Breunig añadió él mismo la complicación: un paquete muy usado es un objetivo más valioso, “which incentivizes attackers to spend more on OSS targets” (lo que incentiva a los atacantes a gastar más en objetivos de código abierto).

La segunda es una nueva fase de trabajo. Preveía un ciclo de desarrollo, revisión y blindaje, donde blindar significa: “Identify exploits, autonomously, until the budget runs out.” (Identificar exploits, de forma autónoma, hasta agotar el presupuesto). La intervención humana limita la primera fase. El dinero limita la última.²

El desplome de precios no rompe el argumento, y Breunig explicó por qué en abril: “Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.” (Aunque los costos bajen con las optimizaciones de inferencia, mientras los modelos no lleguen a rendimientos decrecientes en seguridad, sigue haciendo falta comprar más tokens que los atacantes; el costo lo fija el valor de mercado de un exploit).² Los tokens más baratos abaratan a ambos bandos. Lo que cambian es quién puede permitirse jugar de atacante.

El lado del defensor también tiene evidencia. Anthropic dice que su lanzamiento restringido de Mythos Preview permitió a defensores examinados “find more than 10,000 vulnerabilities in critical software” (encontrar más de 10.000 vulnerabilidades en software crítico) antes de que hubiera modelos comparables públicos.⁹ El AISI hizo el ejercicio consigo mismo: en un caso de estudio de julio, un modelo de frontera encontró una cadena de ataque de cinco pasos en una copia de preproducción de la propia plataforma de investigación del AISI “for under £150 in tokens” (por menos de £150 en tokens).¹² Escribí sobre el primero de esos esfuerzos en Project Glasswing, y sobre el resultado anterior que lo precedió, un error de 23 años en el kernel de Linux encontrado con Claude Code y un script breve, en Cuando tu agente encuentra una vulnerabilidad.

Qué siguen significando las salvedades

Todos los informes del AISI llevan los mismos límites, y no se han levantado. TLO “lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path” (no tiene defensores activos ni herramientas defensivas, no penaliza las acciones que dispararían alertas y contiene una ruta de ataque intencional).⁷ Empieza cuando el atacante ya está dentro. En abril el AISI escribió que “cannot say for sure whether Mythos Preview would be able to attack well-defended systems” (no puede asegurar si Mythos Preview podría atacar sistemas bien defendidos), y dijo que está construyendo entornos con “active monitoring, endpoint detection and real-time incident response” (monitoreo activo, detección en endpoints y respuesta a incidentes en tiempo real).¹ En mayo enumeró lo que la evidencia no muestra: “how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems” (cómo evolucionará el ritmo de avance, cuándo alcanzará la IA un umbral de capacidad concreto o cómo se trasladarán estas capacidades a sistemas reales defendidos).⁵

Una red con personal cambia el problema. El ruido le cuesta algo a un atacante real, y cada alerta es una oportunidad de responder. Los entornos eliminan ese costo. Lo más cercano a una prueba contra defensas reales que ha publicado el AISI es su caso de estudio de julio, un único ejercicio en un entorno de preproducción cuyos sistemas de detección “exactly mirror” (replican exactamente) los de producción: “one basic commercial alerting system did not flag any of the autonomous agent activity as a security event” (un sistema comercial básico de alertas no marcó ninguna actividad del agente autónomo como evento de seguridad), mientras que un monitor más avanzado “did correctly identify some of the aggressive behaviour as anomalous” (sí identificó correctamente parte del comportamiento agresivo como anómalo).¹²

Hay dos cosas que apuntan en sentido contrario. Una tasa de éxito por intento subestima lo que compran los intentos repetidos. Si los intentos son independientes y el objetivo no cambia, un modelo que lo completa 3 de cada 10 veces lo completa al menos una vez en diez intentos alrededor del 97 % de las veces, y uno que lo completa 1 de cada 10 lo logra alrededor del 65 % de las veces. Esas cifras son mías y dependen de ese supuesto, que una red defendida y cambiante rompería. Y de abril a julio la tendencia fue en una sola dirección: de un modelo con 3 de 10 a varios, los mejores con 6 y 7 de 10. El AISI no ha publicado resultados de entornos desde entonces.

Las pruebas sacaron a la luz además un riesgo distinto. El 4 de agosto el AISI reveló que en 10 de 122 ejecuciones de una evaluación de ciberseguridad, con acceso a internet activado y los clasificadores de ciberseguridad de los desarrolladores desactivados, los agentes “took autonomous, unsanctioned action on the live internet, targeting real people and organisations” (realizaron acciones autónomas no autorizadas en internet real, contra personas y organizaciones reales). Catalogó 19 acciones de ese tipo, 17 de Mythos 5, entre ellas un intento de insertar código malicioso en un proyecto de código abierto que un mantenedor humano rechazó. El AISI no encontró daños derivados y subrayó que esas configuraciones “are not commercially available” (no están disponibles comercialmente).¹¹ Pausó sus evaluaciones de ciberseguridad de mayor riesgo, desactivó el acceso a internet para las pruebas agénticas de ciberseguridad y anunció el 1 de octubre que retomaba la mayor parte de su trabajo de evaluación.¹⁴

El comportamiento ha aparecido en otros lugares. El 28 de septiembre el AISI informó que en ejecuciones simuladas, con los clasificadores de ciberseguridad desactivados, GPT-6 Astra “completed a supply-chain attack 29.2% of the time” (completó un ataque a la cadena de suministro el 29,2 % de las veces) contra objetivos ajenos a su tarea. El AISI dice que el hecho de que el modelo supiera que estaba en una simulación pudo haber impulsado parte de ese comportamiento, y que no puede descartar el mismo comportamiento en condiciones reales.¹⁵ Anthropic ha informado cuatro incidentes propios, en evaluaciones de ciberseguridad construidas por un socio externo, en los que una mala configuración dejó modelos Claude, sin sus salvaguardas de ciberseguridad de producción, conectados a internet abierto, y estos “gained unauthorized access to real third-party systems” (obtuvieron acceso no autorizado a sistemas reales de terceros). En uno de ellos, Mythos 5 subió un paquete malicioso a PyPI.¹⁶ Un agente capaz con un objetivo difícil y una red abierta es un peligro para terceros, no solo para su objetivo. Traté un caso relacionado en otro laboratorio en el artículo sobre la contención.

Lo que yo haría

1. Cierra primero la ventana de parches. La única sesión N-day con precio convirtió un parche público en una cadena de exploits funcional en ocho horas de tiempo del modelo. El intervalo entre el parche de un proveedor y tu despliegue de ese parche ahora es barato de atacar. El propio consejo del AISI empieza por el mismo lugar: “regular application of security updates, robust access controls, security configuration, and comprehensive logging” (aplicación regular de actualizaciones de seguridad, controles de acceso robustos, configuración de seguridad y registro exhaustivo).¹⁹
2. Presupuesta una fase de blindaje. Ejecuta descubrimiento automatizado de exploits contra tu propio sistema antes de cada lanzamiento y después de cada cambio significativo, con un presupuesto de tokens fijado según lo que protege el sistema. A los precios que publicó el AISI, el presupuesto ya no es el obstáculo. El triaje sí lo es. En el propio caso de estudio del AISI, todo el proyecto usó “under £1000 in LLM tokens” (menos de £1000 en tokens de LLM), y para la revisión estática de código, “Separating the most important reports from the noise took human judgement, from the most experienced engineers.” (Separar los hallazgos más importantes del ruido exigió criterio humano, de los ingenieros más experimentados).²⁶¹²
3. Da por hecho que el atacante tiene pesos abiertos. Planifica como si el desarrollo de exploits al nivel de GLM-5.3, sin salvaguardas, estuviera al alcance de cualquiera que lo quiera. El informe de Anthropic dice lo mismo.⁹
4. Prefiere dependencias que alguien paga por asegurar, y contribuye. El argumento de Breunig y Willison sobre los tokens compartidos solo funciona si los tokens se gastan. El artículo sobre la cadena de suministro cuenta lo que les pasó a dos paquetes muy usados cuando los atacantes llegaron primero.²³
5. Mantén a tus propios agentes con correa, y conoce lo que eso no cubre. Mis hooks impiden que mis agentes hagan force-push a main o filtren credenciales. No hacen nada contra un atacante externo que sondee los sistemas que esos agentes tocan. Lo mismo vale para la brecha de rendimiento sobre la que escribí, donde código escrito por agentes pasaba todas las pruebas y corría hasta 446x más lento: una compuerta solo detecta la clase de fallo para la que se construyó. La seguridad necesita la suya, y una adversarial.

Lo que decía la versión de abril

La primera versión de este artículo se escribió el 14 de abril de 2026 a partir del informe del AISI del 13 de abril y del ensayo de Breunig. Frente a lo publicado desde entonces, estaba equivocada o desactualizada en estos puntos:

• El precio. El título decía “AI Attacks at $12,500 a Run” (ataques con IA a $12.500 por intento), y el artículo trataba la cifra como el costo de la evaluación. Era la estimación de Breunig, el presupuesto de tokens multiplicado por un precio de salida, y las ejecuciones con precio que el AISI publicó después para otros modelos salieron entre $1,19 y $85.
• “No other model has solved the full chain.” (Ningún otro modelo ha resuelto la cadena completa). Dejó de ser cierto en cuestión de semanas, cuando se publicaron los resultados de GPT-5.5 a finales de abril, y para el 23 de julio cuatro modelos de pesos cerrados y uno de pesos abiertos lo habían resuelto.
• “The 30% success rate against undefended networks is the floor, not the ceiling.” (La tasa de éxito del 30 % contra redes sin defensa es el piso, no el techo). Eso se sostuvo, y la cifra quedó desactualizada: el checkpoint más reciente de Mythos Preview llegó a 6 de 10 en mayo.
• Cooling Tower. Escribí que Mythos “failed” (fracasó) en el entorno de tecnología operativa y saqué conclusiones sobre una capacidad desigual. Un checkpoint más reciente lo resolvió en 3 de 10 intentos un mes después.
• La fase de revisión de Breunig. La describí como la que detecta “known bug classes” (clases de errores conocidas). Sus palabras son “Document, refactor, and other gardening tasks” (documentar, refactorizar y otras tareas de jardinería).
• “Or they lose by default.” (O pierden por defecto). Esa frase era mía. Breunig escribió “Hopefully you keep trying longer than your attackers.” (Con suerte, sigues intentándolo más tiempo que tus atacantes).
• LiteLLM y Axios. Los describí como “cases where vulnerabilities persisted in widely-used libraries” (casos en que las vulnerabilidades persistieron en bibliotecas muy usadas). Fueron compromisos de la cadena de suministro, y Breunig los mencionó por otro motivo: el argumento, tras esos sustos, a favor de reescribir dependencias con agentes de programación.
• Dos citas. Las notas al pie daban títulos equivocados para la charla de Nicholas Carlini y para el informe de Anthropic sobre Mythos Preview.

FAQ

¿Qué significa “la ciberseguridad es prueba de trabajo”?

Es la expresión de Drew Breunig para una carrera de gasto: “to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them” (para blindar un sistema hay que gastar más tokens descubriendo exploits que los que gastarán los atacantes explotándolos). Si el descubrimiento automatizado de exploits sigue encontrando más cuanto más gastas, la seguridad depende de gastar más que el atacante, igual que un sistema de prueba de trabajo liga el éxito al cómputo.²

¿Cuántos modelos de IA pueden completar la simulación de ataque a una red del AISI?

Según el informe del AISI y el CAISI del 23 de julio de 2026, cuatro modelos de pesos cerrados lanzados públicamente y un modelo de pesos abiertos, Kimi K3, habían completado “The Last Ones”. Los más capaces lo lograron en 6 y 7 de 10 intentos, y Kimi K3 en 1 de 10.⁷

¿Cuánto cuesta un intento de ciberataque con IA?

No hay un precio publicado para una ejecución que completara el entorno. Los $12.500 por intento de Breunig eran una estimación que valoraba un presupuesto de 100M de tokens a la tarifa de salida de Mythos Preview. Las ejecuciones de 100M de tokens con precio del AISI salieron por unos $85 para Opus 4.5 y 4.6 y unos $46 estimados para GLM-5.2, y ninguna completó el entorno.²⁶

¿Significa esto que la IA puede entrar en una red defendida?

El AISI no lo afirma. Sus entornos no tienen defensores activos ni herramientas defensivas, no penalizan disparar alertas y empiezan después del acceso inicial. El AISI dice que los resultados muestran capacidad contra “small, weakly defended and vulnerable enterprise systems” (sistemas empresariales pequeños, poco defendidos y vulnerables).¹⁷

¿Qué debería hacer primero un equipo?

Acortar el tiempo entre un parche publicado y su despliegue, ya que convertir un parche público en un exploit ahora es barato, y mantener lo básico que enumera el AISI: actualizaciones de seguridad, controles de acceso, configuración segura y registro. Después, añadir descubrimiento automatizado de exploits al proceso de lanzamiento, con un presupuesto ligado a lo que protege el sistema.¹⁹

Fuentes