La conclusión práctica es simple: si estás construyendo herramientas de seguridad o políticas bajo el supuesto de que el modelo de ciberseguridad Mythos de Anthropic permanecerá confinado dentro de las fronteras estadounidenses, la historia sugiere que deberías planificar de otra manera. Los controles de exportación sobre software relacionado con seguridad tienen un historial de 30 años sin funcionar, y no hay razón estructural para que esta vez sea diferente.
El patrón comienza con PGP a principios de los años 90. Phil Zimmermann publicó software de cifrado fuerte, el gobierno estadounidense lo clasificó como munición, y en cuestión de meses el código circulaba internacionalmente —en parte a través de libros impresos que técnicamente eran legales de exportar. El gobierno eventualmente desistió. El cifrado se propagó globalmente de todas formas.
La misma dinámica se repitió con el espionaje comercial. Herramientas como FinFisher y Pegasus del Grupo NSO estaban sujetas a regímenes de licencia de exportación, pero terminaron en manos de gobiernos autoritarios en todo el mundo. Los controles generaron papeleo y ocasionales enjuiciamientos, pero no restringieron significativamente quién tenía acceso a estas capacidades.
Ahora Anthropic ha desarrollado Mythos, un modelo específicamente diseñado para investigación de ciberseguridad ofensiva y defensiva. Independientemente de si se aplican formalmente restricciones de exportación, la realidad subyacente es que los pesos de los modelos de IA pueden copiarse, versiones ajustadas pueden reconstruirse, y el conocimiento incrustado en un modelo capaz se difunde rápidamente una vez que cualquier versión está en circulación. El costo marginal de la distribución digital es efectivamente cero.
Para los desarrolladores, la implicación es que la ventaja competitiva no provendrá del acceso exclusivo a ningún modelo en particular —provendrá de qué tan rápido integres, personalices e implementes estas capacidades en tus propios sistemas. Esperar claridad regulatoria antes de construir es una estrategia para quedarse atrás. Para los formuladores de políticas, la pregunta honesta es si los controles de exportación sobre Mythos sirven un objetivo de seguridad real o principalmente crean sobrecarga de cumplimiento mientras actores extranjeros determinados los rodean en cuestión de meses.
El historial de 30 años sugiere lo segundo. Eso no significa que ninguna regulación sea apropiada, pero sí significa que los controles diseñados para restringir el flujo de software tienen un historial deficiente y merecen un escrutinio serio antes de aplicarse a herramientas de seguridad en IA.