¿Qué es Mythos de Anthropic y por qué es importante para la seguridad en DeFi?

Mythos es el sistema de IA interno de Anthropic diseñado para la investigación automatizada de vulnerabilidades. Puede analizar bases de código complejas, encadenar múltiples problemas de baja gravedad para convertirlos en exploits críticos, y razonar sobre implementaciones criptográficas como TLS y AES-GCM a velocidades que ningún auditor humano puede igualar. Para DeFi, esto significa que el costo de encontrar exploits cae drásticamente, socavando los supuestos económicos detrás de las defensas basadas en fricción, como los timelocks y las auditorías periódicas.

¿Siguen valiendo la pena las auditorías de contratos inteligentes de DeFi en 2026?

Las auditorías siguen siendo una higiene básica necesaria, pero ya no son suficientes como defensa principal. Cubren una instantánea estática del código, requieren meses de tiempo de preparación y fallan sistemáticamente en detectar errores de interacción entre contratos, que es donde ocurren la mayoría de los hackeos más importantes. Los protocolos que operan a escala necesitan monitoreo continuo asistido por IA y verificación formal además de las auditorías tradicionales.

¿Qué es Project Glasswing y cómo aborda las amenazas cripto generadas por IA?

Project Glasswing es una iniciativa de investigación de seguridad en IA nativa del ecosistema cripto que desarrolla marcos de monitoreo en tiempo real diseñados para igualar la velocidad de los ataques asistidos por IA. En lugar de revisiones periódicas, se enfoca en el monitoreo de invariantes, fuzzing continuo y pipelines de detección automatizada capaces de identificar comportamientos anómalos antes de que un exploit se complete.

DeFi

Anthropic Mythos vs seguridad DeFi: la pila de auditorías está rota

By Anurag Verma•April 27, 2026

Anthropic Mythos vs Seguridad DeFi: La Pila de Auditorías Está Rota

Esta semana, el ecosistema DeFi absorbió más de $750M en pérdidas adicionales a través de un conjunto de hackeos a protocolos que, en la superficie, parecían la historia de siempre: controles de acceso mal configurados, brechas de reentrada, fallos en la lógica de los bridges. Pero los vectores de ataque se están volviendo más precisos, el tiempo entre el descubrimiento y el vaciado se está comprimiendo, y las herramientas del lado del atacante están a punto de recibir una mejora significativa.

AnthropicMythos, su sistema de IA interno diseñado para la investigación automatizada de vulnerabilidades, no solo encuentra bugs más rápido. Razona a través de bases de código enteras, encadena primitivas de exploits y opera a una velocidad en la que las defensas existentes de DeFi no son lentas, son estructuralmente irrelevantes. Esto no es una mejora marginal de las herramientas de ataque existentes. Es un cambio de categoría.

La semana de $750M no es una coincidencia de timing. Es una muestra de lo que ocurre cuando la asimetría ofensa-defensa en la seguridad DeFi se amplía, no se reduce.

Por Qué la Pila de Fricción de DeFi Nunca Fue Seguridad Real

El modelo de seguridad dominante en DeFi es teatro de fricción. Funciona así: hacer los exploits suficientemente molestos para que la mayoría de los atacantes no se molesten, y suficientemente costosos para que los que sí lo hacen puedan ser detectados antes de vaciar todo.

Los mecanismos reales son:

Multisig, requiere que M de N titulares de claves firmen, añadiendo sobrecarga de coordinación
Timelocks, retrasa la ejecución de actualizaciones y grandes transferencias entre 24 y 72 horas
Auditorías, revisiones periódicas de código por firmas como Trail of Bits, Certik, OpenZeppelin

Esto funciona contra atacantes oportunistas con habilidades técnicas moderadas. No funciona contra un sistema de IA que puede leer una base de código Solidity de 50.000 líneas en segundos, identificar interacciones de estado no obvias entre contratos y generar una cadena de exploits funcional antes de que cualquier analista humano termine su primera revisión.

La pila de fricción fue diseñada en torno a la economía del atacante humano. Mythos cambia la función de costo por completo.

Lo Que Mythos Hace Realmente a la Superficie de Ataque

Como se detalla en la vista previa técnica de Anthropic Mythos, el sistema puede analizar implementaciones TLS, detectar patrones de reutilización de nonces AES-GCM y rastrear cadenas de dependencias a través de pilas de software complejas, el tipo de análisis TLS y AES-GCM de Mythos que antes requería un criptógrafo senior y varias semanas.

Para DeFi, esto se traduce en algunos vectores de amenaza concretos:

Encadenamiento de exploits entre contratos, La mayoría de los hackeos importantes en 2024-2025 explotaron interacciones entre contratos, no bugs en contratos individuales. La IA de clase Mythos puede modelar estas interacciones de forma holística. El incidente de Kelp DAO que cubrí anteriormente, donde una mala configuración del DVN de LayerZero costó $292M, es exactamente el tipo de interacción entre múltiples sistemas que Mythos está diseñado para encontrar.
Encadenamiento de zero-days a velocidad de máquina, Las vulnerabilidades zero-day de IA en cripto no son teóricas. La preocupación es un sistema de IA que identifica tres problemas individualmente de baja severidad y los combina en una ruta de exploit crítica que ningún auditor humano habría conectado.
Superficie de ataque de oráculos y bridges, La lógica de los bridges es densa, mal especificada y toca múltiples sistemas externos. Es aquí donde los auditores humanos consistentemente pasan cosas por alto. También es donde los sistemas de razonamiento automatizado tienen más influencia.

Nada de esto requiere que Mythos sea desplegado de forma maliciosa. Las mismas capacidades disponibles para los investigadores de Anthropic estarán disponibles, de alguna forma, para todos en 18-24 meses.

Las Auditorías de Smart Contracts DeFi Ya Están Mostrando Sus Limitaciones

La industria de auditorías no está a la altura. Una auditoría típica de Nivel 1 cuesta entre $50.000 y $300.000, tarda de 4 a 8 semanas y cubre un snapshot fijo de la base de código. Los protocolos publican actualizaciones constantemente. La auditoría suele estar desactualizada antes de que la tinta se seque.

Peor aún, las auditorías generan una falsa confianza. Como documenta el análisis de Olympix sobre por qué fallan las auditorías de smart contracts, Euler Finance tenía auditorías. Ronin tenía auditorías. Nomad tenía auditorías. El hackeo del bridge de Ronin de $625M en 2022 pasó desapercibido precisamente porque los auditores revisaron los contratos de forma aislada, no el proceso de gestión de claves de validadores del que dependían.

Decir "hemos sido auditados" en 2026 tendrá aproximadamente la misma señal de seguridad que decir "usamos HTTPS" en 2015. Es higiene básica, no una postura de defensa.

La obsolescencia de las auditorías de smart contracts DeFi no está por venir, ya está aquí para los protocolos que operan a escala, un patrón confirmado por la investigación de Olympix sobre el estado de la seguridad Web3 que muestra que la mayoría de los exploits provienen de contratos auditados. La pregunta es si los equipos se adaptan o simplemente siguen comprando la misma cobertura costosa e insuficiente.

Project Glasswing y los Marcos de Riesgo de IA que Emergen en Respuesta

No todos están dormidos. Project Glasswing, una iniciativa de investigación de seguridad de IA nativa de cripto, está trabajando en marcos de monitoreo continuo asistidos por IA diseñados para operar a la velocidad de las amenazas generadas por IA. La intuición central es correcta: si la IA puede encontrar exploits en tiempo real, la capa de detección y respuesta también tiene que operar en tiempo real.

Esto significa alejarse de las auditorías periódicas y avanzar hacia:

Monitoreo de invariantes, verificaciones on-chain que alertan cuando el estado del contrato viola las condiciones esperadas
Verificación formal, pruebas matemáticas de corrección para la lógica central del protocolo, no solo revisión informal
Pipelines de fuzzing continuo, generación automatizada de pruebas que se ejecuta en cada commit, no solo en el momento de la auditoría

Algunos protocolos ya están aquí. La arquitectura de hooks de Uniswap v4 fue diseñada con la verificación formal en mente. MakerDAO ha invertido fuertemente en modelado de seguridad económica. Pero estos son casos excepcionales. El protocolo DeFi mediano en 2025 todavía publica con una sola auditoría y un timelock de 48 horas, y lo considera suficiente.

La Matemática del Timelock Ya No Funciona

Este es el problema estructural específico de los timelocks: asumen que un analista humano tiene tiempo para revisar una transacción pendiente, identificarla como maliciosa y coordinar una respuesta antes de que se ejecute.

A 48-72 horas, eso es plausible. Un equipo de seguridad competente puede movilizarse, evaluar y responder.

Ahora imagina un atacante usando encadenamiento de exploits de IA en DeFi para identificar una vulnerabilidad, elaborar un exploit, preparar una propuesta de gobernanza que parece legítima, y solo revelar su payload malicioso a través de una ruta de ejecución condicional que se activa después del timelock. El timelock no falló, lo que falló fue el supuesto de velocidad de análisis que lo sustentaba.

La superficie de ataque de gobernanza es la próxima gran frontera. Espero al menos un exploit significativo en la capa de gobernanza en 2026 que exponga exactamente esta brecha.

Cómo Debe Verse Realmente la Pila Defensiva

La seguridad basada en fricción tiene que ceder paso a la seguridad basada en corrección. El camino práctico hacia adelante tiene tres capas:

Capa 1, Verificación formal en el núcleo del protocolo. No todo, pero la lógica de liquidación, los invariantes contables, los patrones de control de acceso. Certora y Halmos están listos para producción. No hay excusa para que un protocolo con $500M de TVL no los use.

Capa 2, Monitoreo continuo asistido por IA. Herramientas como Forta Network, Hexagate e Hypernative están haciendo trabajo real aquí. Detectan comportamiento on-chain anómalo antes de que se complete. Esta es la capa de detección que necesita escalar para igualar las amenazas a velocidad de IA.

Capa 3, Respuesta a incidentes que pueda moverse más rápido que una votación DAO. Mecanismos de pausa que se activan con la detección automatizada, no después de una propuesta de gobernanza. Multisigs de emergencia con playbooks de respuesta preautorizados. La respuesta rápida del equipo de Euler en 2023, recuperando $197M mediante negociación, funcionó en parte porque tenían un responsable claro que podía actuar rápido. La mayoría de los protocolos no lo tienen.

La infraestructura de pagos de agentes de IA que cubrí en el artículo sobre x402 y los rieles de pago autónomos también es relevante aquí: a medida que los agentes de IA realizan transacciones de forma autónoma on-chain, la superficie de ataque para los exploits asistidos por IA escala con el volumen de transacciones, no solo con el número de protocolos.

La Pregunta Real Es Quién Se Adapta Primero

AnthropicMythos representa un reconocimiento público de que los sistemas de IA ahora operan en la frontera de la investigación de vulnerabilidades. Las mismas capacidades analíticas se proliferarán. Siempre lo hacen.

Los protocolos DeFi que sobrevivan los próximos dos años serán los que traten la seguridad como un problema de ingeniería continuo, no como una casilla de cumplimiento. Los que no lo hagan proporcionarán los casos de estudio.

La semana de $750M no es el peor escenario. Es la línea base alrededor de la cual nos estamos normalizando antes de que las herramientas se vuelvan más baratas y accesibles. La ventana para reconstruir la pila de defensa está abierta, pero no lo estará por mucho tiempo.