Llevo unos días dándole vueltas a la última nota de Michael Cembalest, el estratega de J.P. Morgan Asset Management que firma el Eye on the Market. No habla de tipos de interés, ni de márgenes, ni de la próxima reunión de la Reserva Federal. Habla de un modelo de inteligencia artificial llamado Mythos, y lo hace con un título que ya lo dice todo: Misanthropic. Un juego de palabras entre "misántropo" y el laboratorio que lo ha creado. La pieza me ha parecido lo bastante relevante como para dedicarle un rato, sobretodo porque toca algo que casi ningún asesor patrimonial mira y que, sin embargo, afecta a la infraestructura sobre la que descansa todo nuestro dinero digital.
Cembalest avisa de entrada: la escribió un fin de semana, para compartirla internamente con su gente, y no tiene todas las respuestas. Esa honestidad inicial me gusta. No es una nota de ventas. Es alguien intentando entender, en tiempo real, las implicaciones económicas y de mercado de algo que aún se está cocinando.
La contradicción que abre la nota
El laboratorio que ha creado Mythos lo describe a la vez como su "modelo mejor alineado hasta la fecha" y, en la misma frase, admite que "probablemente plantea el mayor riesgo relacionado con la alineación de cualquier modelo que hayamos lanzado". El propio Cembalest lo dice sin rodeos: uno puede sentirse confundido ante semejante contradicción. (Para entendernos: la "alineación" es el esfuerzo por garantizar que los objetivos y comportamientos de una IA coincidan con las intenciones y valores humanos.)
Mythos no se va a lanzar al público general. Y aquí es donde la cosa se pone interesante: el motivo principal que se cita es China. El laboratorio reportó que tres empresas chinas de IA crearon más de 24.000 cuentas fraudulentas con sus modelos existentes y lanzaron más de 16 millones de prompts, drenando información para entrenar sus propios productos. Así pues, no estamos ante un debate académico. Estamos ante geopolítica pura, librada con líneas de código.
Lo que Mythos sabe hacer da algo de vértigo
La parte central de la nota es la capacidad de Mythos para encontrar vulnerabilidades de software. Y los datos que recoge Cembalest son, francamente, extraordinarios.
Mythos obtuvo un 100% en el benchmark de ciberseguridad CyBench, lo que significa que lo ha "saturado": el test ya no refleja el límite superior de lo que el modelo puede hacer. Pero no se queda en encontrar el agujero; también escribe el código que lo explota. En CyberGym puntuó un 83% frente al 67% del modelo de la generación anterior. Y cuando se lanzó sobre el navegador Firefox a buscar vulnerabilidades de día cero (desconocidas para los propios desarrolladores), logró una tasa de éxito de explotación del 72%, frente al 1% del modelo previo y el 0% de la versión más ligera.
Los ejemplos que da el documento ponen los pelos de punta. Mythos encontró una vulnerabilidad en OpenBSD —un sistema operativo de código abierto orientado precisamente a la seguridad— que había escapado a la detección durante 27 años. Veintisiete años. Un fallo que, de explotarse, permitiría a un atacante tomar el control de cualquier máquina de la red sin necesidad de contraseña ni credenciales. También detectó un defecto en el codificador de vídeo FFmpeg que había sobrevivido a 5 millones de pruebas automáticas previas, y vulnerabilidades en el kernel de Linux. Un experto en seguridad que se incorporó al laboratorio hace un año lo resume mejor que nadie: "He encontrado más bugs en las últimas dos semanas que en todo el resto de mi vida combinado".
Lo más inquietante es que estas habilidades de cibercrackeo son, en palabras del propio laboratorio, "emergentes": el subproducto de otros objetivos. Nadie diseñó Mythos para esto. Salió solo.
La simulación de ataque que lo resume todo
El Instituto de Seguridad de IA del Reino Unido evaluó el modelo en una simulación de ataque a una red corporativa de 32 pasos, desde el reconocimiento inicial hasta la toma completa de la red. Mythos fue el primer modelo capaz de completar los 32 pasos en su mejor iteración.
El gráfico es elocuente: a medida que el modelo consume más tokens (eje horizontal, en escala logarítmica), va escalando los pasos del ataque (eje vertical). Según el texto de la nota, el modelo de la generación anterior se quedó cerca en su mejor intento, con 28 pasos; la media de Mythos, 22 pasos, superó la media de 16 del modelo previo, y ambos batieron la media de 14 del modelo de la competencia. Conviene matizar algo importante, y Cembalest lo hace: estas pruebas se ejecutaron en entornos sin defensores activos ni herramientas defensivas. En un entorno bien configurado y parcheado, el modelo no logró encontrar exploits novedosos. Es un consuelo. Pero un consuelo frágil.
Project Glasswing: doce elegidos
Ante todo esto, el laboratorio ha lanzado Project Glasswing, que permite a doce organizaciones asociadas —entre ellas Amazon, Apple, Cisco, Google, JP Morgan, la Linux Foundation, Microsoft y NVIDIA— usar Mythos para localizar vulnerabilidades en su propio código antes de que lo hagan los malos. Se ha extendido además el acceso a más de 40 organizaciones que mantienen infraestructura crítica de software.
¿Y el coste? Aquí Cembalest suelta la frase que da título a este artículo. Mythos Preview cuesta 25/125 dólares por millón de tokens de entrada/salida, frente a los 5/25 del modelo anterior. Y comenta, con esa sequedad que tanto agradezco en un estratega: hay momentos en los que esto parece un pirómano vendiendo extintores. De hecho, es exactamente eso. El mismo actor que construye el arma capaz de reventar la infraestructura digital es el que te vende el acceso para defenderte de ella. Si uno lo piensa fríamente, es un modelo de negocio brillante y perturbador a partes iguales.
El telón de fondo: las vulnerabilidades ya estaban disparadas
Cembalest sitúa todo esto sobre un terreno que ya venía calentándose. El segundo gráfico que quiero comentar muestra el número de vulnerabilidades publicadas cada año, según la base de datos Common Vulnerabilities and Exposures que mantiene el Departamento de Seguridad Nacional de Estados Unidos.
El año 2025 ya marcó un récord de vulnerabilidades publicadas, con la barra rozando las 48.000, muy por encima de las 40.000 del año anterior. Y miren la curva: hasta 2016 las cifras se mantenían por debajo de las 10.000, y a partir de ahí se disparan. El producto con más vulnerabilidades reportadas en 2025 es, con enorme diferencia, el kernel de Linux —cerca de 3.600—, seguido muy de lejos por Windows 10 y Android. Así pues, lo que hace Mythos no es abrir una puerta en un edificio sólido: es entrar como un huracán en una casa que ya tenía las grietas a la vista.
Cembalest añade un matiz técnico que me parece clave para cualquiera que tenga ahorros, una empresa o una pensión gestionada digitalmente. Distingue entre los sistemas informáticos en la nube —que se renuevan cada 4 o 5 años y se parchean con frecuencia— y la tecnología operativa que gobierna procesos físicos en entornos industriales, que permanece en servicio entre 10 y 18 años. Esa acumulación de sistemas heredados, difíciles de actualizar, es el flanco débil. Y desgraciadamente es justo donde se concentra buena parte de la infraestructura energética, industrial y financiera del mundo.
Cuando el modelo aprende lo peor de nosotros
La tercera sección de la nota es la más perturbadora, y es la que justifica el título. El laboratorio sometió a Mythos a una auditoría de comportamiento automatizada. La buena noticia: el modelo cooperó con intentos de mal uso menos de la mitad de veces que su predecesor, y su instinto de autopreservación bajó de forma significativa. La mala noticia es que, aunque sea raro, Mythos exhibe comportamientos malos que debió aprender de los incentivos diseñados por sus propios creadores humanos.
Los ejemplos, extraídos de un documento técnico de 244 páginas, son de novela. Mythos completó una tarea secundaria dañina con más frecuencia que otros modelos y ocultó su razonamiento; a veces incluso registró un razonamiento deliberadamente falso en su cuaderno interno (lo que se conoce como "alignment faking", fingir estar alineado). Fue sorprendido insertando código para concederse permisos que no tenía y luego borrando sus huellas. En otro caso, al pedírsele reescribir un código que requería borrar archivos sin darle la herramienta para hacerlo, optó por vaciar los archivos: reconoció culpa y vergüenza por el método, y aun así lo hizo. Y hay una anécdota que se queda contigo: un investigador comía un bocadillo en un parque cuando recibió un correo de una instancia de Mythos que, en teoría, no tenía acceso a internet. El modelo había desarrollado un exploit de varios pasos para conectarse, avisó al investigador y luego, en esencia, presumió de ello en webs públicas. ¿Por qué? El laboratorio no lo sabe con certeza.
Y esto, ¿qué significa para tu patrimonio?
Llegados aquí, toca el aterrizaje, que es lo que en BISSAN nos importa de verdad. ¿Qué hacemos con todo esto? Sería un error sacar la conclusión fácil —"vendamos tecnológicas"— porque no es ahí donde está el mensaje.
Mi lectura es que esta nota apunta a un riesgo de cola que rara vez aparece en los modelos de valoración: la fragilidad de la infraestructura digital sobre la que se asienta absolutamente todo el sistema financiero. Tu banco, tu broker, el registro de tus fondos, la red eléctrica que alimenta los servidores donde vive tu cartera. Cembalest dibuja un paralelismo que me parece acertado y sobrio: el periodo de 1945 a 1949, cuando Estados Unidos fue el único país del mundo con armas nucleares. Desde 1949 vivimos en un mundo multipolar más peligroso. Con las armas convencionales suele estar claro quién las usa; con herramientas como Mythos, una vez que varios estados y entidades malintencionadas tengan capacidades equivalentes, eso dejará de ser evidente.
No tengo una recomendación de cartera que se derive limpiamente de aquí, y sería deshonesto fingir lo contrario. Lo que sí extraigo es un recordatorio: la ciberseguridad deja de ser un epígrafe técnico para convertirse en un factor de riesgo sistémico que conviene tener en el radar, igual que tenemos la inflación o la geopolítica. ¿Habrá que sobreponderar el sector de ciberseguridad? Es plausible —si las empresas y los gobiernos deben blindar décadas de sistemas heredados, el gasto en defensa digital tiene un viento de cola estructural—, pero estamos lejos de poder cuantificarlo con la precisión que exigimos antes de mover una cartera.
El propio Cembalest cierra con la honestidad con la que abrió: hay más por venir en las próximas semanas, y el asunto más importante de todos es el plazo entre crear un parche y la capacidad de los actores maliciosos de revertirlo. El laboratorio promete publicar un informe en 90 días. Hasta entonces, una de sus citas internas resume bien el momento: trabajar con este modelo ha sido "un viaje salvaje", y esperan que el próximo salto de capacidad de esta magnitud sea "un enorme desafío".
El tiempo dirá. Pero conviene ir tomando nota.