Epic paraliza desarrollo 6 semanas tras detectar IA de Anthropic vulnerabilidades críticas en 320M historiales

Epic Systems, la empresa privada que gestiona MyChart —el portal que usan hospitales y consultorios de todo Estados Unidos para que los pacientes accedan a sus historiales clínicos— detuvo prácticamente todo su desarrollo de producto durante seis semanas. No fue un auditor externo, ni un equipo de pruebas de penetración, ni un hacker ético quien encontró el problema. Fue Mythos, el modelo de ciberseguridad de Anthropic, desplegado como parte del programa Project Glasswing.

Lo que Mythos descubrió fue grave: algunas configuraciones de MyChart permitían a personas externas acceder a historiales de pacientes sin dejar ningún registro en los logs del sistema. Para un sistema clínico, es el peor escenario posible. El agujero existe y, además, no deja huella. La fundadora y CEO Judy Faulkner explicó la decisión a Modern Healthcare. El Chief Security Officer Stirling Martin añadió detalles a The New York Times: Mythos no confirmó si la vulnerabilidad permitía también alterar historiales sin detección, pero la combinación de acceso externo posible más ausencia de logs fue considerada riesgo suficiente como para detener el desarrollo y priorizar la corrección.

MyChart almacena más de 320 millones de historiales de pacientes en hospitales y consultorios de Estados Unidos. Epic aclara que no tiene acceso directo a esos datos —la responsabilidad recae en cada proveedor de salud—, pero un fallo en un software compartido por muchos de esos proveedores tiene un radio de impacto potencial enorme. Si un atacante hubiera encontrado la misma puerta antes que la IA, no habría forma de saber quién entró ni qué vio.

Lo que distingue este hallazgo de una prueba de penetración clásica es la densidad del análisis. Martin explicó en la conferencia de usuarios de Epic de agosto de 2026, según reportó Fierce Healthcare, que el equipo pasó los modelos avanzados de Anthropic sobre su propio código: a pesar de que la base de código tiene varios cientos de millones de líneas, los modelos de IA pueden hacer observaciones que los desarrolladores expertos no ven. En cada modelo sucesivo, la IA es mejor encontrando vulnerabilidades potenciales y es capaz de encadenar problemas no relacionados en un camino de ataque nuevo. Martin también advirtió a los equipos de TI de los hospitales que esperaran una cantidad inusualmente alta de parches urgentes en las próximas semanas.

La decisión de Epic no llega en el vacío. El Departamento de Salud y Servicios Humanos de Estados Unidos tiene como mayor brecha sanitaria de 2026 la sufrida por la aseguradora dental DentaQuest, con 15 millones de personas afectadas. En 2024, el ataque de ransomware a Change Healthcare, propiedad de UnitedHealth, expuso datos de más de 192 millones de personas —la mayoría de la población estadounidense—. Solo este año se han encadenado brechas en almacenamiento clínico, en distribución farmacéutica y en healthtech con software usado en Norteamérica. En este contexto, parar el desarrollo y corregir antes de parchear sobre la marcha es una decisión costosa, pero defendible.

Mythos es el modelo insignia de Anthropic para ciberseguridad defensiva y el eje del programa Project Glasswing. Anthropic lanzó el proyecto en abril de 2026 con unos 50 socios iniciales, mayoritariamente estadounidenses, y en junio lo amplió con 150 organizaciones adicionales de más de 15 países. Entre los socios confirmados están Amazon Web Services, Apple, Google, Microsoft, JPMorganChase, Tanium y Payward, la matriz de Kraken. En pruebas preliminares, Mythos identificó de forma autónoma más de 10.000 vulnerabilidades zero-day. El modelo alcanza tasas de éxito superiores al 83% en la generación de exploits efectivos al primer intento. El 10 de septiembre de 2026, la ENISA, la agencia de ciberseguridad de la Unión Europea, se convirtió en la primera institución europea con acceso a Mythos, tras meses de negociaciones con fricciones por los controles de exportación de Estados Unidos.

La lectura para el sector trasciende a Epic. MyChart es la plataforma dominante en el mercado estadounidense, pero el ecosistema de historia clínica electrónica es global. El caso demuestra dos cosas a la vez: que incluso el proveedor con mayores recursos de ingeniería del sector puede tener fallos que solo un modelo de IA de frontera identifica, y que la respuesta responsable —parar el producto y corregir— es viable cuando la empresa es privada y no tiene presión de resultados trimestrales. Faulkner fundó Epic en 1979 y la ha convertido en la mayor empresa de software de historia clínica del mundo sin haberla sacado a bolsa. Esa estructura facilita decisiones como la actual, pero el mensaje al sector vale para cualquier empresa cotizada que gestione datos sensibles: la seguridad puede justificar parar el producto.