- La IA Mythos de Anthropic ha revelado fallos de alta gravedad en Firefox, algunos con más de 15 y hasta 20 años en el código.
- Mozilla pasó de corregir 31 errores en abril de 2025 a 423 en abril de 2026 gracias a un nuevo pipeline de auditoría apoyado en IA.
- El modelo detectó 271 vulnerabilidades en un ciclo de desarrollo, incluyendo escapes de sandbox y errores en HTML y XSLT.
- La corrección de los fallos sigue en manos de ingenieros humanos, mientras se abre un debate sobre el impacto de estas IAs en la ciberseguridad.
Durante meses, en Mozilla se ha estado gestando un cambio profundo en la forma de proteger su navegador. La colaboración con Anthropic y su modelo Mythos ha destapado vulnerabilidades que llevaban más de una década ocultas en Firefox, algo que hasta hace poco sonaba más a teoría que a realidad práctica.
Este giro no solo afecta al propio Firefox, muy utilizado en Europa y España dentro de entornos corporativos, educativos y de administraciones públicas, sino que abre un debate más amplio: ¿qué pasa cuando una inteligencia artificial es capaz de encontrar fallos complejos a una velocidad que ningún equipo humano puede igualar?
Mythos de Anthropic: una IA diseñada para ciberseguridad avanzada
Anthropic presentó Mythos en abril de 2026 como un modelo especializado en detectar vulnerabilidades de alta severidad en grandes bases de código antes de su uso generalizado. La propia compañía advirtió desde el principio que se trataba de una tecnología de doble filo, con un enorme potencial tanto para la defensa como para el ataque.
Mozilla fue una de las primeras organizaciones en poner a prueba este sistema en un producto de consumo masivo como Firefox. Los investigadores de seguridad de la fundación relatan que Mythos encontró una gran cantidad de errores críticos, algunos dormidos en el código desde hacía más de diez o incluso veinte años, sin que auditorías previas o herramientas clásicas de análisis lograran detectarlos.
Según lo explicado por la propia Mozilla en sus publicaciones técnicas y comunicados, esta nueva generación de modelos representa un salto respecto a las herramientas de IA de hace tan solo seis meses, que se caracterizaban por inundar a los equipos con falsos positivos y reportes poco utilizables en la práctica.
Los responsables del proyecto en Mozilla lo resumen con una frase contundente: es difícil exagerar cómo ha cambiado la dinámica en cuestión de meses. Por un lado, los modelos se han vuelto mucho más capaces; por otro, el equipo ha afinado los métodos para integrarlos en su flujo de trabajo de seguridad.
Un salto brutal en el número de errores encontrados y corregidos
Los números reflejan de forma muy clara la magnitud del cambio. En abril de 2026, Firefox lanzó 423 correcciones de errores, frente a las 31 que había publicado en el mismo mes de 2025. No todo ese aumento se debe únicamente a Mythos, pero Mozilla vincula directamente este salto a la nueva estrategia basada en IA.
En uno de los ciclos de desarrollo auditados con el modelo más avanzado, Claude Mythos detectó 271 vulnerabilidades en Firefox, una cifra que marca un antes y un después para el navegador. Para ponerlo en contexto, a principios de 2026, con una versión anterior del modelo (Claude Opus 4.6), solo se habían encontrado 22 fallos en un periodo comparable.
De esas 271 vulnerabilidades, los informes internos de Mozilla apuntan a que la mayoría fueron clasificadas de alta severidad, con un número menor etiquetado como moderado o bajo. Se trata de fallos que en muchos casos podían ser explotados simplemente con que el usuario visitara una página web especialmente preparada.
Mozilla ha hecho públicos detalles técnicos de una docena larga de estos fallos para demostrar que no se trata de ruido generado por la IA, sino de problemas reales y explotables. Esos informes explican cómo se reproducen los errores, los componentes afectados y el impacto potencial en la seguridad.
Vulnerabilidades enterradas durante 15 y hasta 20 años
Entre los hallazgos más llamativos, Mythos localizó un error que llevaba 15 años presente en la forma en que Firefox interpreta un elemento HTML. El problema se activaba solo bajo condiciones muy concretas, combinando límites de recursión, propiedades especiales y patrones específicos de gestión de memoria, lo que explica que hubiera pasado desapercibido para revisiones humanas previas.
En otro caso, la IA destapó un bug en el motor XSLT de Firefox con una antigüedad cercana a los 20 años, relacionado con llamadas reentrantes que manipulaban estructuras de datos internas mientras seguían en uso. Este tipo de errores, profundamente enterrados en el corazón del motor de renderizado, son especialmente difíciles de localizar con técnicas tradicionales.
La herramienta no se limitó a partes marginales del navegador. También detectó condiciones de carrera en la comunicación entre procesos (IPC) que permitían, en teoría, que un proceso comprometido alterase contadores de referencia en el proceso principal a través de IndexedDB, lo que podía desembocar en un escape del sandbox.
A estos casos se suman desbordamientos de enteros en tablas HTML y otros fallos lógicos que habían resistido años de uso y prueba, incluyendo campañas de fuzzing automatizado. El mensaje implícito es claro: incluso proyectos con una larga trayectoria de auditorías pueden esconder errores muy importantes.
El sandbox de Firefox, en el punto de mira
Uno de los aspectos que más ha llamado la atención a la propia Mozilla es el papel de Mythos en la detección de vulnerabilidades dentro del sandbox de Firefox. Este componente funciona como una capa de aislamiento que limita el daño si un proceso se ve comprometido, y forma parte del núcleo de la seguridad del navegador.
Encontrar un fallo en el sandbox no es nada trivial. Para que el ataque funcione, hay que encadenar varios pasos técnicos: explotar una vulnerabilidad inicial, interactuar con el mecanismo de aislamiento y lograr escapar de él. Según las explicaciones compartidas por la compañía, el modelo debe ser capaz incluso de generar código que simule un exploit y comprobar si es efectivo.
El programa de recompensas de Mozilla refleja lo delicado de este tipo de fallos: paga hasta 20.000 dólares por vulnerabilidad de sandbox confirmada, la cuantía más alta dentro de su esquema de bug bounty. A pesar de ese incentivo, históricamente el número de hallazgos de este tipo no había sido elevado.
Brian Grinstead, ingeniero distinguido de Mozilla, explica que Mythos está encontrando más problemas de sandbox que los investigadores humanos en toda la historia del programa. No es que antes no se descubrieran, apunta, pero el ritmo actual es muy superior gracias a esta nueva técnica de análisis automatizado.
Un pipeline híbrido: IA para encontrar fallos, humanos para arreglarlos
A pesar de la potencia de Mythos, Mozilla insiste en que la inteligencia artificial no está aplicando parches por su cuenta. El modelo se utiliza para analizar el código, proponer posibles vulnerabilidades y, en algunos casos, sugerir cambios, pero la decisión final sigue pasando por varios pares de ojos humanos.
En la práctica, el proceso funciona así: la IA señala el posible fallo y genera información técnica detallada, a veces incluyendo un parche sugerido. A partir de ahí, un ingeniero examina el informe, valida el problema, escribe la corrección adecuada y otro ingeniero revisa ese parche antes de su integración.
Grinstead lo resume de forma muy clara al hablar de los fallos documentados públicamente: cada uno de ellos ha tenido al menos un ingeniero redactando el parche y otro revisándolo. Por ahora, Mozilla no ha encontrado una forma segura de automatizar por completo esa parte del proceso.
Este enfoque refleja una realidad que muchos equipos de desarrollo en Europa y España empiezan a asumir: la IA puede ampliar de manera enorme la capacidad de detección, pero la responsabilidad sobre el código en producción sigue recayendo en profesionales humanos, especialmente cuando se trata de software crítico como un navegador utilizado por millones de personas.
Cómo se integró Mythos en la seguridad de Firefox
La adopción de esta tecnología no consistió únicamente en conectar el modelo a un repositorio de código. Mozilla construyó una infraestructura específica de análisis de seguridad apoyada en sus sistemas de pruebas existentes
, con múltiples máquinas virtuales trabajando en paralelo y pipelines automatizados que ejecutan diferentes tipos de análisis.
El proceso arrancó meses antes con Claude Opus 4.6, una versión anterior de los modelos de Anthropic, que en apenas dos semanas ya había identificado 22 vulnerabilidades, 14 de ellas de alta gravedad. Ese primer experimento sirvió de base para ajustar las herramientas y pulir el flujo de revisión humana.
Cuando llegó Claude Mythos Preview, el modelo más avanzado, la maquinaria ya estaba en marcha y el número de fallos detectados se disparó. La IA no solo marcaba posibles vulnerabilidades, sino que acompañaba cada señal con casos de prueba reproducibles, algo clave para filtrar falsos positivos.
En total, más de un centenar de personas en Mozilla participaron en la corrección de las vulnerabilidades descubiertas en Firefox, distribuyendo los parches en distintas versiones (como 149.0.2, 150.0, 150.0.1 y 150.0.2) para no concentrar todos los cambios en una sola actualización.
Impacto para usuarios y empresas en Europa y España
Para la mayoría de usuarios, todo este trabajo se traduce en actualizaciones de Firefox que llegan de forma silenciosa y transparente. Sin embargo, en entornos europeos donde la seguridad y el cumplimiento normativo son clave, el impacto es mucho más tangible.
En España y el resto de la Unión Europea, navegadores como Firefox se utilizan a diario en organismos públicos, centros educativos, pymes y grandes empresas. La existencia de vulnerabilidades críticas latentes durante años implica riesgos potenciales para datos personales, sistemas internos y servicios en línea.
La irrupción de herramientas como Mythos encaja, además, con la evolución del marco regulatorio europeo en materia de ciberseguridad, desde la directiva NIS2 hasta el futuro Cyber Resilience Act, que endurecerán las exigencias de seguridad para productos y servicios digitales comercializados en la UE.
Para desarrolladores y responsables de TI en España, el caso de Firefox funciona casi como un aviso preventivo: si un proyecto con tantos recursos y años de auditoría tenía errores ocultos, es razonable pensar que el software corporativo y las aplicaciones internas también se beneficiarán de análisis profundos asistidos por IA.
Ventaja defensiva… con riesgo de doble uso
Mozilla sostiene que, bien empleadas, estas herramientas pueden inclinar por fin la balanza hacia los defensores, al hacer más barato y rápido encontrar vulnerabilidades antes de que lo hagan los atacantes. En su visión, se está reduciendo la ventaja histórica del lado ofensivo, que podía dedicar meses a buscar un solo fallo crítico con grandes recompensas.
Sin embargo, nadie oculta la otra cara de la moneda. Una IA capaz de localizar vulnerabilidades complejas también podría utilizarse para explotarlas. De ahí que Anthropic haya optado por mantener Mythos fuera del alcance del público general, ofreciéndolo solo a organizaciones bajo programas cerrados con controles adicionales.
En el ámbito europeo, donde la ciberseguridad se ha convertido en prioridad estratégica, este tipo de capacidades pueden reforzar la protección de infraestructuras críticas, servicios financieros, sanidad o telecomunicaciones. Pero también obligan a pensar en nuevos escenarios de amenazas si herramientas similares acaban en manos de actores maliciosos.
Dario Amodei, CEO de Anthropic, se muestra relativamente optimista: argumenta que, si se gestionan bien estas tecnologías, la industria podría salir mejor parada porque existe un número finito de errores y la IA puede ayudar a localizarlos y corregirlos de manera masiva. Aun así, voces dentro de Mozilla insisten en que todavía es pronto para dar por resuelto el debate.
Un futuro inmediato marcado por auditorías automatizadas
Mirando a medio plazo, Mozilla planea integrar de forma más profunda el análisis con IA en su ciclo de integración continua, de manera que cada cambio de código pase por un escaneo de seguridad antes de incorporarse a las versiones estables del navegador.
En paralelo, otros actores del ecosistema de código abierto y del sector tecnológico europeo ya exploran implementaciones parecidas. Organizaciones como la Linux Foundation han comenzado a estudiar cómo aplicar modelos avanzados de IA a proyectos críticos, lo que sugiere que este tipo de auditoría se convertirá en estándar de facto.
Para empresas de software, startups y proveedores SaaS en España y la UE, la señal es clara: no basta con pruebas manuales y herramientas estáticas tradicionales. Aunque no se tenga acceso a Mythos, existen modelos comerciales y de código abierto que permiten un primer paso hacia este tipo de análisis automatizado.
Lo que ha ocurrido con Firefox funciona como una especie de adelanto de lo que viene: las auditorías de seguridad intensivas basadas en IA dejarán de ser una curiosidad para convertirse en una práctica casi obligatoria en proyectos que manejen datos sensibles o se distribuyan a gran escala.
Todo lo que ha rodeado a Anthropic Mythos y su trabajo sobre Firefox deja claro que la ciberseguridad está entrando en una nueva etapa, en la que la combinación de modelos de IA muy capaces y equipos humanos especializados puede sacar a la luz errores que llevaban más de 15 o 20 años escondidos en el corazón de aplicaciones ampliamente usadas. Para usuarios, empresas y administraciones europeas, el mensaje es incómodo pero necesario: el software es más frágil de lo que parecía, pero también contamos por fin con herramientas capaces de revelar esas grietas antes de que lo hagan otros.