Durante años, uno de los principales retos de la ciberseguridad ha sido encontrar las vulnerabilidades antes que los atacantes.

En 2026, sin embargo, empezamos a enfrentarnos a un problema distinto: puede que estemos entrando en una era en la que somos capaces de encontrar vulnerabilidades más rápido de lo que podemos remediarlas.

Los datos empiezan a reflejar esta transformación.

Según nuestro seguimiento de los registros publicados en la National Vulnerability Database (NVD), a 17 de agosto de 2026 el número total de vulnerabilidades registradas durante el año habrá alcanzado aproximadamente el volumen registrado durante todo 2025: 45.146 vulnerabilidades, usando el mismo criterio de corte.

Pero hay una diferencia fundamental.

Si ese ritmo se mantiene hasta final de año, 2026 podría rozar las 72.000 vulnerabilidades.

¿Qué está pasando?

Probablemente no hay una única explicación. El ecosistema CVE sigue creciendo, cada vez más organizaciones son capaces de descubrir y publicar vulnerabilidades, y los procesos de identificación de vulnerabilidades se automatizan cada vez más.

Pero en abril de 2026 apareció un nuevo elemento que podría estar acelerando significativamente esta tendencia. Se llama Claude Mythos Preview.

Y podemos usar su llegada para describir un fenómeno más amplio que llamaremos el efecto Mythos.

¿Qué es el efecto Mythos?

"El efecto Mythos" no es un término oficial ni un concepto académico establecido.

Es una forma de describir un cambio que empezamos a observar en toda la industria: el uso de modelos de inteligencia artificial avanzados está permitiendo descubrir vulnerabilidades a una velocidad y escala que empieza a superar nuestra capacidad humana para analizarlas, priorizarlas y remediarlas.

El 7 de abril de 2026, Anthropic presentó Claude Mythos Preview y Project Glasswing, una iniciativa en la que grandes organizaciones tecnológicas empezaron a usar el modelo para analizar software crítico en busca de vulnerabilidades. Anthropic describió su aparición como un cambio significativo en las capacidades de la IA aplicadas a la ciberseguridad.

Las capacidades demostradas van mucho más allá de ejecutar un escáner de vulnerabilidades tradicional.

Durante las pruebas, Mythos fue capaz de identificar y explotar vulnerabilidades de día cero en sistemas operativos y navegadores, algunas de las cuales llevaban décadas en el código. Entre los ejemplos publicados por Anthropic se encuentran el descubrimiento de una vulnerabilidad de 27 años de antigüedad en OpenBSD y la generación autónoma de un exploit de ejecución remota de código contra el servidor NFS de FreeBSD capaz de proporcionar acceso root.

Pero lo más importante no es ninguna vulnerabilidad concreta. Es la escala.

El descubrimiento de vulnerabilidades se está convirtiendo en un proceso industrial

Un investigador de seguridad humano puede pasar días o semanas analizando una aplicación compleja.

Un sistema de IA puede analizar varios repositorios de código simultáneamente, generar hipótesis, probarlas, reproducir fallos y seguir trabajando sin interrupción.

Project Glasswing ofrece una primera muestra de lo que podría significar aplicar esta capacidad a escala.

Tras aproximadamente un mes de uso, los partners de Glasswing habían identificado conjuntamente más de 10.000 vulnerabilidades de severidad alta o crítica. Algunos participantes informaron de que su ritmo de descubrimiento de vulnerabilidades se había multiplicado por más de diez.

Mozilla, por ejemplo, encontró y corrigió 271 vulnerabilidades durante las pruebas sobre Firefox 150 con Mythos Preview.

Anthropic también usó Mythos para analizar más de mil proyectos open source.

El resultado inicial fue de 23.019 posibles vulnerabilidades, de las cuales el modelo clasificó inicialmente 6.202 como altas o críticas. De las 1.752 que posteriormente fueron revisadas por investigadores de seguridad independientes o por Anthropic, el 90,6% resultaron ser vulnerabilidades reales.

Estas cifras cambian de forma fundamental la economía del descubrimiento de vulnerabilidades. Hasta ahora, una parte importante del coste estaba asociada a encontrar el fallo. Con herramientas como estas, ese coste puede reducirse drásticamente.

Y cuando encontrar vulnerabilidades se vuelve rápido y automatizable, surge inevitablemente un nuevo cuello de botella.

El problema ya no es encontrar el fallo. Es decidir qué hacer con él.

Hay un detalle especialmente relevante en los resultados publicados por Anthropic. Algunos mantenedores de proyectos open source habrían pedido reducir el ritmo de divulgación de vulnerabilidades porque sus equipos simplemente no tenían capacidad suficiente para analizar y corregir todos los hallazgos que estaban recibiendo.

Según Anthropic, una vulnerabilidad de severidad alta o crítica descubierta por Mythos tardaba, de media, aproximadamente dos semanas en parchearse. Esta puede ser una de las consecuencias más importantes del efecto Mythos.

• Podemos automatizar el descubrimiento.
• Podemos automatizar parte del análisis.
• Incluso podemos usar IA para proponer parches.

Pero desplegar un parche en una organización real sigue implicando procesos humanos: analizar el impacto, comprobar la compatibilidad, probar, coordinar equipos, aprobar cambios, identificar ventanas de mantenimiento, desplegar, verificar y documentar.

El ritmo al que se generan vulnerabilidades puede crecer de forma exponencial. La capacidad de remediación de una organización, no.

Los CVE empiezan a mostrar una anomalía

La tendencia también empieza a aparecer fuera de los datos publicados por Anthropic. Epoch AI analizó las vulnerabilidades de severidad alta y crítica divulgadas por 21 grandes organizaciones tecnológicas e identificó un crecimiento extraordinario que coincide con la aparición de Mythos.

En junio de 2026, estas organizaciones publicaron aproximadamente 1.500 CVE de severidad alta o crítica, más de 3,5 veces el nivel mensual más alto observado antes de la aparición de Mythos. Epoch AI advierte, con razón, de que esto no demuestra causalidad.

Parte del incremento puede deberse a una mejor capacidad de descubrimiento, pero también puede ser resultado de un mayor interés, más recursos y más organizaciones buscando activamente vulnerabilidades.

Aun así, el fenómeno ya es lo bastante significativo como para que el propio CVE Program haya empezado a examinarlo. En su informe del primer trimestre de 2026, el CVE Program vinculó explícitamente el aumento de identificadores reservados con el crecimiento del descubrimiento de vulnerabilidades habilitado por IA.

Más tarde abrió un debate específico titulado CVE in an Era of AI-Enabled Vulnerability Discovery, señalando que la IA está afectando no solo al descubrimiento y la publicación de vulnerabilidades, sino también al trabajo posterior de gestión y remediación.

Sería por tanto demasiado simplista decir: Mythos está causando el aumento de CVE en 2026.

Pero podemos hacer una observación mucho más interesante: Mythos puede ser uno de los primeros ejemplos visibles de un cambio en la forma en que se descubrirán las vulnerabilidades en los próximos años.

Mythos es solo el principio

El verdadero efecto Mythos probablemente no vendrá de un único modelo, sino que vendrá cuando estas capacidades estén disponibles en decenas de modelos, productos de seguridad, fabricantes de software, laboratorios de investigación y equipos ofensivos.

De hecho, Anthropic considera que otros modelos alcanzarán, o ya han alcanzado, capacidades similares y señala que muchas herramientas de IA disponibles públicamente ya pueden encontrar grandes cantidades de vulnerabilidades.

Podemos imaginar fácilmente lo que esto significa:

• Miles de agentes de IA auditando continuamente millones de líneas de código.
• Analizando nuevas versiones.
• Buscando vulnerabilidades en librerías open source.
• Revisando firmware.
• Correlacionando cambios de código.
• Intentando reproducir crashes.
• Construyendo cadenas de explotación, y volviendo a empezar.

La consecuencia podría ser paradójica: cuanto mejores sean nuestras herramientas para descubrir vulnerabilidades, mayor será el número de vulnerabilidades que tendremos que gestionar.

Y esto cambia completamente el problema de la gestión de vulnerabilidades.

No puedes remediarlo todo

Durante muchos años, numerosas organizaciones han gestionado vulnerabilidades principalmente mediante listados: CVE, activo afectado, CVSS y fecha.

Se identifican las críticas, después las altas, medias, y se generan tickets de parcheo. Este modelo ya estaba empezando a mostrar sus límites antes de la aparición de la IA. Con un incremento masivo del volumen de vulnerabilidades, simplemente deja de escalar.

La Guía de remediación basada en riesgos de vulloop parte precisamente de este problema: el volumen creciente de vulnerabilidades puede superar la capacidad operativa de Seguridad y Sistemas en las organizaciones, y tratar de corregir todo simultáneamente no es realista.

Tampoco lo es priorizar únicamente mediante severidad técnica. Dos vulnerabilidades con CVSS 9.8 no tienen necesariamente el mismo riesgo para una organización. Una puede afectar a un servidor interno aislado. La otra puede encontrarse en un servicio expuesto directamente a Internet, asociado a un proceso crítico y con señales de explotación conocida. Tienen una severidad técnica similar, pero no tienen la misma prioridad de remediación.

De Vulnerability Management a Vulnerability Prioritization

Aquí es donde herramientas como vulloop adquieren especial relevancia. Si el efecto Mythos multiplica el número de vulnerabilidades conocidas, la respuesta no puede consistir simplemente en generar todavía más alertas. Necesitamos saber cuáles de esas vulnerabilidades afectan realmente a nuestra organización, y, sobre todo: cuáles debemos remediar primero.

El enfoque de vulloop consiste en correlacionar el inventario real de activos, productos, componentes y versiones de la organización con las fuentes de vulnerabilidades y señales de explotación. Esto permite determinar qué vulnerabilidades son realmente aplicables, qué activos están afectados y qué procesos de negocio pueden verse comprometidos.

A partir de ahí, la prioridad deja de depender únicamente del CVSS. Se incorporan factores como:

• severidad técnica;
• explotación activa o conocida;
• probabilidad de explotación;
• presencia en catálogos como CISA/EU KEV;
• disponibilidad de exploits;
• criticidad del activo;
• exposición del sistema;
• proceso de negocio afectado;
• alcance dentro del inventario;
• disponibilidad de parche o mitigación.

El resultado no debería ser otro listado de miles de CVE, debe ser una cola de remediación accionable:

• qué requiere una actuación de emergencia;
• qué debe atenderse con alta prioridad;
• qué puede entrar en la próxima ventana de mantenimiento;
• qué puede planificarse;
• qué puede mantenerse en monitorización.

Ese modelo permite alinear la urgencia de las vulnerabilidades con la capacidad operativa real de los equipos.

La nueva batalla será por el tiempo de remediación

El efecto Mythos puede marcar un punto de inflexión en ciberseguridad. Durante años hemos intentado mejorar nuestra capacidad para detectar vulnerabilidades. La inteligencia artificial puede resolver buena parte de ese problema mucho antes de lo que esperábamos, pero eso no significa que haya resuelto la gestión de vulnerabilidades.

En realidad, puede haber creado el siguiente problema. Un mundo en el que aparecen cientos de nuevas vulnerabilidades cada día y donde máquinas autónomas pueden descubrir miles adicionales obliga a asumir una realidad: ninguna organización tendrá capacidad para remediarlo todo inmediatamente.

La ventaja defensiva ya no estará únicamente en saber que existe una vulnerabilidad, estará en saber: si me afecta, cuánto riesgo representa para mí y si debo corregirla antes que las otras mil que tengo pendientes.

Ese es precisamente el cambio que plantea vulloop: pasar de una gestión basada en volumen y urgencia técnica a un modelo basado en riesgo, impacto y evidencia, convirtiendo información dispersa sobre activos y vulnerabilidades en decisiones de remediación priorizadas y trazables.

For years, one of cybersecurity's main challenges has been finding vulnerabilities before attackers do.

In 2026, however, we are beginning to face a different problem: we may be entering an era in which we can find vulnerabilities faster than we can remediate them.

The data is beginning to reflect this transformation.

According to our tracking of records published in the National Vulnerability Database (NVD), by August 17, 2026, the total number of vulnerabilities recorded during the year will have roughly reached the volume registered during all of 2025: 45,146 vulnerabilities, using the same cutoff criteria.

But there is one fundamental difference.

If that pace continues through the end of the year, 2026 could approach 72,000 vulnerabilities.

What is happening?

There is probably no single explanation. The CVE ecosystem continues to grow, more organizations are capable of discovering and publishing vulnerabilities, and vulnerability identification processes are becoming increasingly automated.

But in April 2026, a new element emerged that could be significantly accelerating this trend. Its name is Claude Mythos Preview.

And we can use its arrival to describe a broader phenomenon that we will call the Mythos Effect.

What is the Mythos Effect?

"The Mythos Effect" is not an official term or an established academic concept.

It is a way of describing a change we are beginning to observe across the industry: the use of advanced artificial intelligence models is enabling vulnerabilities to be discovered at a speed and scale that is beginning to exceed our human capacity to analyze, prioritize, and remediate them.

On April 7, 2026, Anthropic introduced Claude Mythos Preview and Project Glasswing, an initiative in which major technology organizations began using the model to analyze critical software in search of vulnerabilities. Anthropic described its emergence as a significant change in AI capabilities applied to cybersecurity.

The capabilities demonstrated go far beyond running a traditional vulnerability scanner.

During testing, Mythos was able to identify and exploit zero-day vulnerabilities in operating systems and browsers, some of which had existed in code for decades. Among the examples published by Anthropic were the discovery of a 27-year-old vulnerability in OpenBSD and the autonomous generation of a remote code execution exploit against FreeBSD's NFS server capable of providing root access.

But the most important aspect is not any single vulnerability. It is the scale.

Vulnerability discovery is becoming an industrial process

A human security researcher may spend days or weeks analyzing a complex application.

An AI system can analyze multiple code repositories simultaneously, generate hypotheses, test them, reproduce failures, and continue working without interruption.

Project Glasswing provides an early indication of what applying this capability at scale could mean.

After approximately one month of use, Glasswing partners had collectively identified more than 10,000 high- or critical-severity vulnerabilities. Some participants reported that their vulnerability discovery rate had increased by more than tenfold.

Mozilla, for example, found and fixed 271 vulnerabilities during testing on Firefox 150 using Mythos Preview.

Anthropic also used Mythos to analyze more than one thousand open-source projects.

The initial result was 23,019 potential vulnerabilities, of which the model initially classified 6,202 as high or critical. Of the 1,752 that were subsequently reviewed by independent security researchers or Anthropic, 90.6% turned out to be real vulnerabilities.

These figures fundamentally change the economics of vulnerability discovery. Until now, a significant portion of the cost was associated with finding the flaw. With tools like these, that cost can be reduced dramatically.

And when finding vulnerabilities becomes fast and automatable, a new bottleneck inevitably emerges.

The problem is no longer finding the flaw. It is deciding what to do with it.

There is one particularly significant detail in the results published by Anthropic. Some maintainers of open-source projects reportedly asked for the rate of vulnerability disclosure to be reduced because their teams simply did not have enough capacity to analyze and fix all the findings they were receiving.

According to Anthropic, a high- or critical-severity vulnerability discovered by Mythos was taking, on average, approximately two weeks to patch. This may be one of the most important consequences of the Mythos Effect.

• We can automate discovery.
• We can automate part of the analysis.
• We can even use AI to propose fixes.

But deploying a patch in a real organization still involves human processes: analyzing impact, checking compatibility, testing, coordinating teams, approving changes, identifying maintenance windows, deploying, verifying, and documenting.

The rate at which vulnerabilities are generated can grow exponentially. An organization's remediation capacity cannot.

CVEs are beginning to show an anomaly

The trend is also beginning to appear outside the data published by Anthropic. Epoch AI analyzed high- and critical-severity vulnerabilities disclosed by 21 major technology organizations and identified extraordinary growth that coincided with the emergence of Mythos.

In June 2026, these organizations published approximately 1,500 high- or critical-severity CVEs, more than 3.5 times the highest monthly level observed before Mythos appeared. Epoch AI correctly warns that this does not prove causation.

Part of the increase may come from improved discovery capabilities, but it may also result from greater interest, increased resources, and more organizations actively searching for vulnerabilities.

Even so, the phenomenon is now significant enough for the CVE Program itself to begin examining it. In its first-quarter 2026 report, the CVE Program explicitly linked the increase in reserved identifiers to the growth of AI-enabled vulnerability discovery.

It later opened a specific discussion titled CVE in an Era of AI-Enabled Vulnerability Discovery, noting that AI is affecting not only vulnerability discovery and publication, but also the downstream work of vulnerability management and remediation.

It would therefore be too simplistic to say: Mythos is causing the increase in CVEs in 2026.

But we can make a much more interesting observation: Mythos may be one of the first visible examples of a change in how vulnerabilities will be discovered in the coming years.

Mythos is only the beginning

The real Mythos Effect will probably not come from a single model. It will come when these capabilities are available across dozens of models, security products, software vendors, research labs, and offensive security teams.

Anthropic itself believes that other models will reach, or may already have reached, similar capabilities and notes that many publicly available AI tools can already identify large numbers of vulnerabilities.

It is easy to imagine what this means:

• Thousands of AI agents continuously auditing millions of lines of code.
• Analyzing new releases.
• Searching for vulnerabilities in open-source libraries.
• Reviewing firmware.
• Correlating code changes.
• Attempting to reproduce crashes.
• Building exploit chains, and then starting all over again.

The consequence could be paradoxical: the better our tools become at discovering vulnerabilities, the more vulnerabilities we will have to manage. And that fundamentally changes the vulnerability management problem.

You cannot remediate everything

For many years, organizations have primarily managed vulnerabilities through lists: CVE, affected asset, CVSS score, and date.

Critical vulnerabilities are identified first, followed by high- and medium-severity vulnerabilities, and patching tickets are generated. This model was already beginning to show its limitations before the emergence of AI. With a massive increase in vulnerability volume, it simply stops scaling.

The Risk-Based Remediation Guide from vulloop starts precisely from this problem: the growing volume of vulnerabilities can exceed the operational capacity of Security and IT teams within organizations, and trying to fix everything at once is simply not realistic.

Nor is prioritizing vulnerabilities solely on the basis of technical severity. Two vulnerabilities with a CVSS score of 9.8 do not necessarily represent the same level of risk to an organization. One may affect an isolated internal server. The other may exist in an internet-facing service, associated with a critical business process and showing signs of known exploitation. They may have similar technical severity, but they do not have the same remediation priority.

From Vulnerability Management to Vulnerability Prioritization

This is where tools such as vulloop become especially relevant. If the Mythos Effect multiplies the number of known vulnerabilities, the answer cannot simply be to generate even more alerts. We need to know which of those vulnerabilities actually affect our organization. And, above all: which ones we need to remediate first.

The vulloop approach correlates an organization's actual inventory of assets, products, components, and versions with vulnerability sources and exploitation signals. This makes it possible to determine which vulnerabilities are genuinely applicable, which assets are affected, and which business processes could be compromised.

From that point on, priority no longer depends exclusively on CVSS. Other factors are incorporated, including:

• technical severity;
• active or known exploitation;
• probability of exploitation;
• presence in catalogs such as CISA/EU KEV;
• availability of exploits;
• asset criticality;
• system exposure;
• affected business process;
• scope across the organization's inventory;
• availability of a patch or mitigation.

The result should not be another list containing thousands of CVEs. It should be an actionable remediation queue:

• what requires emergency action;
• what must be addressed with high priority;
• what can be included in the next maintenance window;
• what can be planned;
• what can remain under monitoring.

This model aligns vulnerability urgency with the actual operational capacity of the teams responsible for remediation.

The next battle will be over remediation time

The Mythos Effect could mark a turning point in cybersecurity. For years, we have worked to improve our ability to detect vulnerabilities. Artificial intelligence may solve a significant part of that problem much sooner than we expected. But that does not mean it has solved vulnerability management.

In fact, it may have created the next problem. A world in which hundreds of new vulnerabilities appear every day, while autonomous machines are capable of discovering thousands more, forces us to accept one reality: no organization will have the capacity to remediate everything immediately.

The defensive advantage will no longer come solely from knowing that a vulnerability exists. It will come from knowing: whether it affects me, how much risk it represents to my organization, and whether I need to fix it before the other thousand vulnerabilities already waiting in my backlog.

That is precisely the shift proposed by vulloop: moving away from vulnerability management based on volume and technical urgency toward a model based on risk, impact, and evidence, transforming fragmented information about assets and vulnerabilities into prioritized, traceable remediation decisions.