ACI Europe alerta a los aeropuertos del nuevo riesgo para la ciberseguridad de la IA Mythos

La alerta se centra en sistemas de IA capaces de “identificar, encadenar y explotar vulnerabilidades” con una rapidez y una escala inéditas, una novedad que en este momento toma el nombre de Mythos. Para ACI Europe, esta evolución tiene especial relevancia en los aeropuertos porque su operación depende de una red de actores muy amplia: operadores, aerolíneas, handling, sistemas industriales, servicios en la nube, proveedores de software y empresas tecnológicas integradas en procesos críticos y servicios de soporte diario aeroportuario europeo.

Olivier Jankovec, ACI Europe: "Una vulnerabilidad introducida en cualquier punto de esta cadena de suministro puede tener consecuencias operativas que van mucho más allá de una sola organización"

Debido al riesgo de vulnerabilidad señalado por el director general de ACI Europe en su misiva, éste reclama una respuesta colectiva y pide a socios tecnológicos, proveedores gestionados, suministradores de software y compañías vinculadas a la operación aeroportuaria que anticipen “sin demora” esta nueva generación de amenazas habilitadas por inteligencia artificial, con medidas concretas de mitigación coordinada y verificable.

Cómo gestionar las vulnerabilidades en el futuro

Entre las medidas señaladas figuran reducir la superficie de ataque, reforzar identidad, segmentación y principios de confianza cero, aplicar una gestión de vulnerabilidades basada en riesgo y fortalecer la seguridad de la cadena de suministro de software. La carta también apunta al futuro Reglamento europeo de Ciberresiliencia y plantea usar herramientas IA tipo Mythos para detección y remediación, además de reforzar recuperación, continuidad operativa y transparencia ante incidentes operativos críticos.

ACI Europe alerta del riesgo de Mhytos para la vulnerabilidad de los aeropuertos. Fuente: Hosteltur

Pero, ¿qué es exactamente Mythos? Su desarrollador es Anthropic, unaempresa estadounidense de investigación y seguridad en inteligencia artificial, fundada en 2021 por exinvestigadores de OpenAI. Según sus creadores, Mythos es un modelo frontera de propósito general, aún no disponible para el público, que fue presentado en abril de este año dentro de Project Glasswing. Y, ¿qué es Project Glasswing?: una iniciativa de ciberseguridad impulsada por Anthropic que reúne a gigantes tecnológicos y organizaciones globales como Google, Apple, Microsoft, AWS, NVIDIA y la Linux Foundation) para proteger infraestructura digital crítica.

Una IA que detecta y explota vulnerabilidades

Concretamente, la iniciativa Project Glasswing reúne a esas grandes tecnológicas, empresas de ciberseguridad y actores de infraestructura crítica para usar Claude Mythos Preview con fines defensivos, después de comprobar que la IA podía superar a la mayoría de especialistas humanos en detección y explotación de vulnerabilidades.

El origen inmediato de Mythos está en la aceleración de las capacidades de programación, razonamiento y autonomía de los modelos de IA

Cabe precisar que Anthropic sostiene que no entrenó a Mythos específicamente para ciberseguridad, sino que esas capacidades emergieron como consecuencia de mejoras generales en codificación agente y razonamiento. El propio nombre Mythos procede del griego antiguo y alude a la idea de “relato” o sistema narrativo para interpretar el mundo.

El potencial de Mythos en ciberseguridad

Por tanto, su funcionalidad más sensible consiste en analizar código, formular hipótesis sobre posibles fallos, probarlas en entornos controlados y generar informes técnicos con pasos de reproducción. En las pruebas descritas por Anthropic, el sistema fue capaz de identificar miles de vulnerabilidades de alta severidad, algunas en grandes sistemas operativos y navegadores, así como de desarrollar exploits relacionados de forma autónoma, sin dirección humana más allá de la petición inicial.

Project Glasswing restringe el acceso a Mythos porque esas mismas capacidades pueden servir tanto a defensores como a atacantes

Al ser un arma de doble filo, Anthropic plantea que los socios lo utilicen para localizar fallos en software propio, sistemas de código abierto, pruebas de caja negra, seguridad de endpoints y ejercicios de penetración. Para ACI Europe, este salto tecnológico obliga a aeropuertos y proveedores a revisar cadena de suministro, gestión de vulnerabilidades, recuperación y resiliencia operativa.

Medidas preventivas propuestas por ACI Europe ante Mythos

• Reducir la superficie de ataque.
• Reforzar identidad.
• Segmentación y principios de confianza cero.
• Aplicar una gestión de vulnerabilidades basada en riesgo.
• Fortalecer la seguridad de la cadena de suministro de software.