Anthropic presentó el 8 de octubre la Cyber Mission, que la compañía define como un compromiso a largo plazo: dar a los defensores herramientas, investigación y recursos para proteger sistemas como las redes eléctricas, el suministro de agua y el transporte. Las dos áreas prioritarias son la infraestructura crítica y el software de código abierto. La primera corresponde al recién creado Critical Infrastructure Defense Program (Programa de Defensa de Infraestructuras Críticas, o CIDP); la segunda, al OSS Scanner, lanzado el mismo día y sobre el que publicamos otra información.
Los primeros 11 socios
El CIDP arranca con 11 socios: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC y Rockwell Automation. Dragos, Nozomi Networks e Insane Cyber están especializadas en la seguridad de sistemas de control industrial y tecnología operativa (OT); Rockwell Automation es, a su vez, fabricante de equipos de automatización industrial; y Hitachi es la única empresa no estadounidense de la lista.
Anthropic ofrece a sus socios tres cosas: acceso a modelos de frontera, ingenieros in situ e investigación sobre amenazas. Los proveedores de seguridad para infraestructura crítica pueden registrar su interés en participar. El anterior Project Glasswing se ha integrado en el ampliado Cyber Verification Program, al que pueden presentar solicitud equipos de seguridad de cualquier tamaño.
Por qué el foco en la tecnología operativa
La valoración de Anthropic en el anuncio es que los modelos de ciberseguridad de alta capacidad ya están ampliamente en manos de los atacantes, mientras que las herramientas de defensa aún no llegan a suficientes defensores. El coste de explotar vulnerabilidades baja, pero la verificación, la divulgación y la corrección siguen siendo lentas y dependientes de las personas. La compañía afirma que, durante Glasswing, una vulnerabilidad tardaba a menudo meses en pasar del descubrimiento a la corrección, y que los ciclos de reparación de los sistemas OT a veces se miden en décadas.
La tecnología operativa son los sistemas que controlan directamente equipos físicos: los controladores lógicos programables (PLC) de una central eléctrica, el SCADA de una planta de agua, los equipos de señalización del transporte ferroviario. Aplicar parches a estos sistemas exige programar ventanas de parada; muchos equipos cuentan con certificaciones de seguridad, de modo que cambiar una sola línea de firmware obliga a repetir el proceso de certificación; y en los equipos antiguos que el fabricante ya no soporta, el ciclo de sustitución sigue la vida útil del equipo, a menudo más de diez años. A estos casos se refiere Anthropic con "se miden en décadas". Lo que hacen a diario los proveedores de seguridad OT como Dragos y Nozomi es vigilar anomalías en entornos donde no se puede parchear a voluntad; el CIDP pone los modelos en sus manos, lo que resulta más fácil de implantar que entregarlos directamente a las centrales.
La compañía hace además un pronóstico: dentro de dos años, la IA favorecerá más a los defensores. Es una valoración de la propia Anthropic; el anuncio no aporta datos que la respalden ni explica con qué se mide ese "favorecerá más".
De Glasswing a la Cyber Mission
Si se enlazan los movimientos de Anthropic en ciberseguridad este año, el recorrido es el siguiente:
- El 7 de abril arrancó Project Glasswing con unos 50 socios, entre ellos AWS, Apple, Cisco, CrowdStrike, Microsoft, NVIDIA y Palo Alto Networks, con acceso a la versión preliminar de Claude Mythos;
- Después, Glasswing amplió el acceso a Mythos a unos 150 operadores de infraestructura crítica de más de 15 países, en los sectores de energía eléctrica, agua, sanidad, comunicaciones y hardware;
- En junio se puso en marcha un programa de ciberdefensa para gobiernos estatales, locales, tribales y de territorios de EE. UU.; la compañía dice que ya cubre más de la mitad de los estados, y informamos de que California despliega Claude en todo el gobierno estatal con un 50 % de descuento;
- En agosto se creó el Defender Advantage Fund, que apoya proyectos piloto y garantiza que el OSS Scanner sea gratuito;
- El 15 de septiembre, Rockwell Automation se unió a Glasswing;
- El 8 de octubre, Glasswing se integró en el Cyber Verification Program, y ese mismo día se lanzaron el CIDP y el OSS Scanner.
Anthropic afirma que, desde su lanzamiento, Glasswing ha ayudado a los socios a encontrar más de 10 000 vulnerabilidades de gravedad alta o crítica. La cifra la facilita la compañía y los socios no la han confirmado uno por uno. Palo Alto Networks tiene además su propio Frontier AI Critical Defense Program, en el que participan tanto Anthropic como OpenAI y que aplica "parches virtuales" en la capa de red; no es el mismo proyecto que el CIDP.
La mitad del código abierto
En el frente del código abierto, además del OSS Scanner, está Claude for Open Source, que ofrece a los mantenedores una suscripción gratuita a Claude Max. Entre los colaboradores figuran la Python Software Foundation, la Apache Software Foundation, y Alpha-Omega y OpenSSF, que participan a través de la Linux Foundation; Akrites y Gold Eagle se encargan de consolidar los informes de vulnerabilidades.
El anuncio deja varias preguntas sin responder: si los socios del CIDP tendrán que pagar, cuánto durará la colaboración y de qué manera se conectarán los sistemas OT del lado de los operadores con los modelos, nada de esto se explica. Entre los 11 socios no hay empresas chinas, y los servicios de Anthropic tampoco se ofrecen en China continental, por lo que el trabajo equivalente en los sistemas eléctricos y de agua del país tendrá que recaer en proveedores y modelos locales. Anthropic dice que compartirá su experiencia, incluidas las partes que salgan mal, y da la bienvenida a otras empresas de IA, firmas de seguridad y gobiernos.
Fuentes: anuncio oficial de Anthropic, GovInfoSecurity, CocoLoop, nota de prensa de Rockwell Automation, SDxCentral; el anuncio de Anthropic sirvió para contrastar la lista de los 11 socios y a qué programa pertenece cada iniciativa, y GovInfoSecurity para contrastar el alcance de Glasswing.