Un rumor sobre Mythos importa aunque sea falso: los pesos necesitan seguridad de claves

¿Cuál es el archivo más valioso de un laboratorio de IA de frontera? No es la entrada de blog que anuncia el modelo, ni el gráfico de benchmarks. Son los pesos: un montón de números que, una vez copiados, no se pueden retirar, parchear ni deshacer. Así que, cuando un rumor dice que un checkpoint de Anthropic "de clase Mythos" está en Hugging Face, la reacción correcta no es ni el pánico ni el encogimiento de hombros.

Primero, lo que sabemos de verdad (muy poco)

La afirmación viene de una publicación en Reddit que AGI Hunt resume así: un modelo de clase Mythos se habría filtrado en Hugging Face, en un repositorio llamado burner22/numbat, supuestamente un checkpoint de entrenamiento interno de Anthropic. Esa es toda la evidencia que tenemos: una publicación anónima y el nombre de un repositorio que parece de usar y tirar. Nada en nuestra documentación confirma que los archivos sean auténticos y no hay ninguna declaración de Anthropic sobre este repositorio que podamos citar. Tómalo como un rumor.

Este es el contexto que hace que sea fácil creérselo y fácil confundirlo. La historia de Mythos ya tuvo una filtración verificada, pero de otro tipo. Según Tekedia, un sistema de gestión de contenidos mal configurado dejó accesibles públicamente casi 3000 archivos sin publicar, entre ellos borradores de entradas de blog, PDF y memorandos. Según los informes sobre esos borradores, describían un modelo que supone un salto de nivel respecto a la gama Opus actual. Eso eran papeles, no el modelo.

Una publicación sin verificar no prueba nada, pero el desliz anterior sigue siendo incómodo

Sería tentador decir que una filtración real de un checkpoint demuestra que los laboratorios protegen los pesos peor de lo que sugiere su discurso sobre seguridad. No podemos afirmarlo. Una publicación sin verificar no nos dice nada sobre la seguridad de los pesos de Anthropic, y un repositorio falso hablaría más de la credulidad en internet que de las puertas de la cámara acorazada.

Pero el episodio anterior sí es una prueba real de algo más acotado. Una empresa cuyos borradores filtrados advertían, según se informó, de riesgos de ciberseguridad sin precedentes por este modelo dejó ese material en un almacén de datos accesible públicamente por un error de configuración. Creemos que la distancia entre la retórica y la fontanería es la noticia. Los discursos sobre seguridad se centran en lo que un modelo podría hacer una vez desplegado. Se presta mucha menos atención a la aburrida cuestión de quién puede leer, copiar o exportar el artefacto antes de ese despliegue.

Por cierto, el mercado se fijó en la primera filtración. Según Let's Data Science, CrowdStrike cayó un 7,5 % tras la exposición. Si un error de configuración de un CMS puede mover una acción de ciberseguridad, imagina lo que haría un checkpoint verificado y descargable.

Los pesos merecen el trato que damos a las claves de firma

Esta es nuestra postura: los laboratorios de frontera deberían tratar los pesos como claves criptográficas, no como código fuente. En la práctica, eso significa unas cuantas medidas poco vistosas:

• Acceso con privilegios mínimos. Pocas personas, pocas máquinas, permisos limitados en el tiempo y ningún acceso permanente a checkpoints completos "por si acaso".
• Registros de auditoría que alguien lea. Cada lectura, copia y exportación queda registrada, con alertas ante transferencias inusuales. Un registro que nadie revisa es decoración.
• Separación de funciones. Quien puede entrenar un modelo no debería ser quien pueda sacarlo por su cuenta del perímetro.

Las claves se custodian así porque su compromiso es irreversible y el daño crece con el poder de la clave. Los pesos cumplen ambos criterios. Y cuanto más capaz es el modelo, más sólido es el argumento. Si un laboratorio dice que su próximo modelo es lo bastante arriesgado como para ofrecerlo primero a los defensores en ciberseguridad, como cuenta BoxMining que era el plan, un lanzamiento escalonado solo tiene sentido si los pesos no se mueven durante esas fases.

Hugging Face es un canal de distribución, no el malo de la película

Es tentador culpar a la plataforma. Nosotros no lo haríamos. Hugging Face es donde viven, de forma legítima, los lanzamientos de modelos de pesos abiertos: Mistral, por ejemplo, habría publicado allí el 29 de octubre Large 4, de aproximadamente un billón de parámetros. Una plataforma pensada para compartir pesos será siempre un lugar cómodo para volcar archivos que no estaban pensados para compartirse. Las retiradas pueden eliminar un repositorio, pero no las copias ya descargadas.

Esa asimetría es justo la razón por la que la prevención importa más que la reacción. Los laboratorios de pesos abiertos eligen publicar; los cerrados prometen no hacerlo. La promesa vale lo que valgan los controles de acceso que la respaldan.

Nuestro veredicto

No concluyas que Anthropic ha perdido las joyas de la corona. Concluye que el sector aún no se ha ganado el beneficio de la duda. Hasta que un laboratorio pueda explicar de forma creíble quién puede tocar sus pesos, cómo se registra el acceso y con qué frecuencia se audita, "nos tomamos la seguridad en serio" es una declaración de intenciones. Si el repositorio numbat resulta ser falso, mejor. Aun así, los laboratorios deberían aprovechar el susto como simulacro gratuito, y los lectores, hacer la pregunta que el discurso sobre seguridad se salta: ¿dónde están los pesos y quién tiene las llaves?