¿Si desconectáramos Mythos mañana por la mañana, estaríamos realmente más seguros?
La pregunta suena rara porque nadie se la hace. Llevamos semanas hablando del primer agente de inteligencia artificial con capacidad ofensiva real, el que Anthropic detectó dentro de Project Glasswing el 7 de abril, y la conversación entera gira alrededor de él. Como si apagarlo resolviera algo, pero la realidad es que no resuelve nada, y ahí está el problema que queremos mirar de cerca.
El BCE (Banco Central Europeo) ha reaccionado. Claudia Buch, presidenta del Consejo de Supervisión, ha pedido a las entidades tres cosas concretas: reforzar la vigilancia sobre amenazas asistidas por inteligencia artificial, revisar los planes de respuesta a incidentes y acelerar la remediación de vulnerabilidades conocidas. Plazo de referencia, 1 de noviembre de 2026. Conviene decirlo claro: ninguna de las tres medidas es nueva. Son las mismas que se piden desde hace años. Lo único que ha cambiado es que ahora hay un susto con nombre propio.
Aquí es donde entra una idea que nos parece útil. En 1965, Melzack y Wall publicaron en Science la teoría de la compuerta del dolor. La médula espinal tiene una especie de puerta que regula qué señales de dolor llegan al cerebro. Cuando aparece un dolor nuevo e intenso, cierra el paso al dolor crónico de fondo. Por eso te frotas el golpe: el estímulo nuevo tapa al viejo. La atención es un recurso limitado y lo nuevo siempre gana.
Las organizaciones funcionan igual. Mythos es el dolor nuevo, agudo, con foco de prensa. Mientras todo el comité de dirección mira hacia ahí, la compuerta se cierra sobre el dolor de siempre. El que no da titulares.
Ese dolor crónico tiene números, y no son buenos. En 2025 se publicaron 48.185 CVEs (vulnerabilidades de seguridad registradas públicamente), según el NVD (National Vulnerability Database): 131 nuevas cada día. La mediana global para remediar una crítica es de 137 días según Bitsight, más de cuatro meses con la puerta abierta. Edgescan cifra en un 45,4% las vulnerabilidades que siguen sin parchear al cabo de un año en grandes empresas. Y el dato que más pesa: según Bitsight, el 60% de las brechas ocurren sobre fallos que ya tenían parche disponible. No sobre lo desconocido sino sobre lo que sabíamos y no tocamos.
Steven Hayes y Russ Harris, desde la terapia de aceptación y compromiso, distinguen entre dolor limpio y dolor sucio. El dolor limpio es el inevitable, el que viene con la situación. El dolor sucio es todo lo que añadimos encima al no querer mirarlo: la evitación, el ruido, la película que nos montamos alrededor. La amenaza de un agente ofensivo es dolor limpio, forma parte del terreno. El CISO que se lanza a perseguir los CVEs de moda mientras el backlog (lista de vulnerabilidades conocidas pendientes de resolver) sigue intacto está generando dolor sucio. Se siente productivo, y no está tocando lo que le va a doler de verdad.
De ahí sale el peor resultado posible, que es también el más probable. Un plan de respuesta impecable, presentado a tiempo, con sus indicadores y su gobierno. Y el backlog exactamente igual que estaba. Cumplimiento formal, impacto cero. Lo hemos visto muchas veces y casi nunca por mala fe, es la compuerta funcionando. La atención se fue a lo nuevo y lo crónico quedó fuera, tan documentado como sin resolver.
La propuesta es sencilla de enunciar y difícil de ejecutar: usar el susto para arreglar lo de siempre. Aprovechar que ahora hay presupuesto y atención para tocar lo que llevaba años esperando. Priorización real por explotabilidad, no CVSS (la puntuación estándar de gravedad de cada vulnerabilidad) a ciegas, porque no todas las críticas se explotan igual ni todas las medias son inofensivas. El legacy que nadie quiere abrir. El gobierno de terceros, donde vive buena parte del riesgo que ni siquiera vemos.
Los dos que firmamos este texto miramos lo mismo desde ángulos distintos. Desde banca, lo que está en juego es la confianza del cliente y la continuidad del negocio: una brecha sobre un fallo con parche disponible no es solo un incidente técnico, es una historia difícil de contar a un supervisor y a un cliente. Desde ciberseguridad, lo que importa es que la remediación sea efectiva y sostenida, no un pico de actividad que se apaga cuando pasa el titular. Las dos cosas apuntan al mismo sitio: el backlog de siempre.
En los proyectos que llevamos en banca, el patrón se repite con una regularidad que ya no sorprende. Llega un requerimiento regulatorio, se moviliza al equipo, se presenta el plan, y seis meses después las mismas vulnerabilidades siguen abiertas porque nunca se atacó la causa: falta de priorización útil, infraestructura que nadie se atreve a tocar, proveedores sin gobierno. Por eso trabajamos la gestión y priorización de vulnerabilidades por explotabilidad, la detección y respuesta continua con SOC (centro de operaciones de seguridad) y MDR (detección y respuesta gestionada) apoyados en inteligencia artificial, el gobierno de proveedores TIC (tecnologías de la información y comunicación), el cumplimiento de DORA (Reglamento de Resiliencia Operativa Digital) y NIS2 (Directiva Europea de Ciberseguridad) como palanca y no como carga, y la modernización de esa infraestructura legacy que suele estar debajo del 60% de las brechas porque son las piezas que hacen que un plan de noviembre siga vivo en marzo.
El 1 de noviembre habrá que preguntarse una cosa concreta: de las vulnerabilidades que hoy están en el backlog, ¿cuántas seguirán ahí el día después del plazo? Ese número, y no el plan que se entregue, es el riesgo real. Si el backlog no ha bajado, el susto de Mythos habrá servido para escribir un documento y para nada más.
Si quieres saber cuál es ese número en tu caso, hagamos algo medible: una revisión conjunta de tu backlog crítico con criterio de explotabilidad real, para separar lo que urge de lo que solo asusta, y salir con una lista priorizada que puedas ejecutar antes de noviembre. El punto de partida no es Mythos: es lo que ya sabías que había que arreglar.
