Anthropic lanza su Cyber Mission para defensores de OT y de open source

Anthropic lanzó el 8 de octubre la Cyber Mission, un programa que describe como un compromiso a largo plazo para apoyar a los defensores con herramientas, investigación y recursos. Arranca en dos frentes: infraestructura crítica, a través del nuevo Critical Infrastructure Defense Program (CIDP), y software open source, con OSS Scanner, un servicio que corre escaneos de vulnerabilidades gratis con modelos Claude. El timing no es aleatorio: esa misma semana Anthropic había fusionado su esfuerzo Project Glasswing en el Cyber Verification Program expandido, y esta misión es la siguiente capa encima.

Infraestructura crítica: modelos más ingenieros en sitio

La nota abre con un problema concreto. Las redes eléctricas, el agua, las fábricas y el transporte corren sobre tecnología operativa, controladores y redes industriales pensados para durar décadas que muchas veces no se pueden apagar para parchear. Las vulnerabilidades conocidas pueden quedar sin resolver por años, y un cambio mal dado puede tumbar una planta.

El CIDP responde con modelos Claude frontier, ingenieros de Anthropic en sitio e investigación de amenazas, entregados a través de los proveedores en los que ya confían los operadores, no directamente a los operadores. Los socios fundadores son Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC y Rockwell Automation, una mezcla de consultoras, vendors de seguridad y fabricantes de equipos. Según Anthropic, varios partners ya están usando Claude para arreglar vulnerabilidades, y el primer paso es un cohort chico para aprender qué estrategias son prácticas. Las empresas que construyen productos o servicios de seguridad para infraestructura crítica pueden registrar interés.

Esto extiende un programa que Anthropic lanzó en junio para gobiernos estatales, locales, tribales y territoriales de EE. UU. A través de él, la empresa dice que le ofreció modelos frontier y soporte técnico a más de la mitad de todos los estados del país y a algunos de los grandes operadores públicos de infraestructura crítica.

Open source: escaneos gratuitos, con las caveats puestas en claro

El OSS Scanner es un servicio opt-in inspirado en el OSS-Fuzz de Google. Los proyectos que se inscriben reciben escaneos periódicos de los modelos más capaces de Anthropic, sin costo. Cada report incluye un proof of concept de cómo se podría explotar el bug, una explicación y una propuesta de fix cuando existe.

El anuncio es inusualmente explícito con el trade-off: los reports son generados por el modelo y se envían sin revisión humana. Los maintainers reciben los findings más rápido, pero algunos van a contener inexactitudes, como un severity mal calificado. Anthropic espera una tasa de true positives por encima del 90% y dice que va a trabajar en mejorar esa tasa y la calidad de los fixes con el tiempo. El servicio apunta a proyectos con capacidad de seguir el ritmo de los findings; los otros maintainers siguen recibiendo disclosures verificados por humanos según la política de divulgación coordinada de la empresa.

El apoyo de alrededor incluye financiamiento para la Python Software Foundation, OpenSSF y Alpha-Omega a través de la Linux Foundation, y la Apache Software Foundation, más soporte para Akrites y Gold Eagle, que coordinan reports de vulnerabilidades de muchas fuentes para no abrumar a los maintainers. El Defender Advantage Fund, lanzado en agosto, financia programas piloto y mantiene el OSS Scanner gratis. Los maintainers también pueden aplicar a suscripciones Claude Max gratis a través de Claude for Open Source.

La asimetría contra la que apuesta Anthropic

El argumento de la nota es que los modelos cyber-capable ya están ampliamente disponibles para atacantes, mientras que las herramientas defensivas no llegaron a bastante gente de los que las necesita. El costo de explotar vulnerabilidades bajó, pero verificar, divulgar y arreglar es lento y todavía depende de gente. En Glasswing, según Anthropic, a menudo pasaron meses entre que se encontraba una vulnerabilidad y se arreglaba. En tecnología operativa, el fix puede tener que esperar una ventana de mantenimiento segura en máquinas corriendo, y en casos raros esa espera se mide en décadas.

El forecast propio de Anthropic es que en dos años la IA vaya a favorecer la defensa: bugs más fáciles de atrapar antes de que salgan, software más seguro desde la base, y sistemas defendidos activamente por modelos. Es una proyección de la empresa que hace la apuesta, no un resultado independiente. La nota también dice que la misión va a cambiar en los próximos años a medida que Anthropic y sus partners aprendan qué funciona, e invita a otros developers de IA, empresas de seguridad y gobiernos a correr y coordinar sus propios esfuerzos.

Si mantenés un proyecto open source con tráfico real, el movimiento práctico es pesar el scanner contra tu capacidad de triaje: findings más rápidos, algo de ruido, y ningún filtro humano en medio. Si tu negocio está sobre tecnología operativa, el punto de entrada es el cohort de partners, no el modelo directo.