I praksis betyder det, at bankerne forventes at fremskynde sikkerhedsopdateringer, styrke deres beredskab og sikre fuld efterlevelse af EU's Digital Operational Resilience Act, DORA . DORA er EU's regelsæt for digital operationel modstandsdygtighed og stiller blandt andet krav til håndtering af IT-leverandører, rapportering af hændelser og test af bankernes evne til at holde kritiske tjenester kørende.

Claude Mythos blev vækkesignalet

Claude Mythos Preview er ikke blevet gjort offentligt tilgængelig. Anthropic har i stedet begrænset adgangen til et kontrolleret partnerprogram kaldet Project Glasswing. Programmet omfatter omkring 40 såkaldte kritiske teknologi- og finansvirksomheder, som må bruge modellen til defensiv cybersikkerhedstest .

Modellen er altså ikke lanceret som et cyberangrebsværktøj. Men de evner, den har demonstreret i kontrollerede test, har alligevel fået finansielle tilsynsmyndigheder verden over til at reagere hurtigt .

Derfor er modellen en ny type trussel

Mythos er mere end en traditionel sårbarhedsscanner. Den kan i visse scenarier fungere som en næsten autonom cyberoperatør.

Den kan gennemføre flertrinsangreb på egen hånd. I kontrollerede evalueringer fra UK AI Security Institute (AISI) fik Mythos adgang til et netværk og en opgave. Modellen kunne selv finde sikkerhedsfejl, udnytte dem og gennemføre angreb i flere trin – arbejde, der normalt ville tage menneskelige specialister flere dage . Den blev desuden den første testede model til at løse et simuleret angreb på et virksomhedsnetværk med 32 trin fra start til slut. Det lykkedes i tre ud af ti forsøg .

Den finder sårbarheder i maskintempo. Anthropic har oplyst, at modellen fandt "tusindvis af sårbarheder med høj alvorlighedsgrad", herunder fejl i alle større operativsystemer og webbrowsere . Ifølge virksomhedens egne test kan Mythos også identificere og derefter udnytte såkaldte zero-day-sårbarheder – sikkerhedsfejl, som leverandøren endnu ikke kender til, og som derfor ikke har en tilgængelig opdatering .

Det presser det traditionelle tidsrum mellem offentliggørelsen af en sårbarhed og et faktisk angreb. For banker med komplekse, fragmenterede og delvist årtier gamle IT-systemer kan det blive en særlig udfordring .

Risikoen kan brede sig til hele finanssystemet. Den Internationale Valutafond (IMF) har advaret om, at hurtigt udviklende, AI-drevne cyberrisici kan "destabilisere det finansielle system, hvis de ikke håndteres omhyggeligt". IMF opfordrer derfor myndighederne til at fokusere på modstandsdygtighed, tilsyn og koordinering – ikke kun på tekniske eller operationelle problemer .

Bekymringen er, at Mythos eller en tilsvarende model kan blive brugt til samtidige angreb mod tæt forbundne dele af den finansielle infrastruktur. Et cyberangreb vil i så fald kunne udvikle sig fra et isoleret IT-problem til en krise for den finansielle stabilitet.

En del af ECB's plan for 2026-2028

ECB's reaktion på Mythos er ikke et enkeltstående panikindgreb. Den passer direkte ind i banktilsynets nye prioriteter for 2026-2028, hvor fokus for første gang i fem år er samlet om to overordnede søjler .

Mythos-sagen hører især under prioritet 2: at styrke bankernes operationelle modstandsdygtighed og deres ICT-kapacitet . ICT står for informations- og kommunikationsteknologi og dækker blandt andet de systemer, som banker bruger til betalinger, kundedata og kritiske driftsfunktioner.

ECB's forventninger omfatter især:

• Fuld efterlevelse af DORA, herunder styring af risici hos eksterne IT-leverandører, rapportering af hændelser og test af digital operationel modstandsdygtighed .
• Hurtig afhjælpning af kendte mangler inden for cybersikkerhed og styring af tredjepartsrisici, som tidligere tilsyn har påpeget .
• En mere moden digital strategi med AI-specifik styring af blandt andet datakvalitet, forklarlighed, modelansvar, koncentrationsrisiko og afhængighed af enkelte AI-leverandører uden for EU .

Det afgørende skifte er, at AI-risiko ikke længere kun behandles som et teknologisk spørgsmål. ECB placerer den nu tydeligere i den almindelige banktilsynsramme – med en forventning om finansierede handlingsplaner og konkrete forbedringer, ikke blot pilotprojekter og overordnede principper .

For bankerne bliver evnen til at opretholde kritiske tjenester under et alvorligt, AI-forstærket cyberangreb dermed en del af vurderingen af, om de er sunde og robuste. Cybersikkerhed er ikke længere en teknisk sideopgave, men en direkte del af bankens sikkerhed.

I praksis betyder det, at bankerne forventes at fremskynde sikkerhedsopdateringer, styrke deres beredskab og sikre fuld efterlevelse af EU's Digital Operational Resilience Act, DORA . DORA er EU's regelsæt for digital operationel modstandsdygtighed og stiller blandt andet krav til håndtering af IT-leverandører, rapportering af hændelser og test af bankernes evne til at holde kritiske tjenester kørende.

Claude Mythos blev vækkesignalet

Claude Mythos Preview er ikke blevet gjort offentligt tilgængelig. Anthropic har i stedet begrænset adgangen til et kontrolleret partnerprogram kaldet Project Glasswing. Programmet omfatter omkring 40 såkaldte kritiske teknologi- og finansvirksomheder, som må bruge modellen til defensiv cybersikkerhedstest .

Modellen er altså ikke lanceret som et cyberangrebsværktøj. Men de evner, den har demonstreret i kontrollerede test, har alligevel fået finansielle tilsynsmyndigheder verden over til at reagere hurtigt .

Derfor er modellen en ny type trussel

Mythos er mere end en traditionel sårbarhedsscanner. Den kan i visse scenarier fungere som en næsten autonom cyberoperatør.

Den kan gennemføre flertrinsangreb på egen hånd. I kontrollerede evalueringer fra UK AI Security Institute (AISI) fik Mythos adgang til et netværk og en opgave. Modellen kunne selv finde sikkerhedsfejl, udnytte dem og gennemføre angreb i flere trin – arbejde, der normalt ville tage menneskelige specialister flere dage . Den blev desuden den første testede model til at løse et simuleret angreb på et virksomhedsnetværk med 32 trin fra start til slut. Det lykkedes i tre ud af ti forsøg .

Den finder sårbarheder i maskintempo. Anthropic har oplyst, at modellen fandt "tusindvis af sårbarheder med høj alvorlighedsgrad", herunder fejl i alle større operativsystemer og webbrowsere . Ifølge virksomhedens egne test kan Mythos også identificere og derefter udnytte såkaldte zero-day-sårbarheder – sikkerhedsfejl, som leverandøren endnu ikke kender til, og som derfor ikke har en tilgængelig opdatering .

Det presser det traditionelle tidsrum mellem offentliggørelsen af en sårbarhed og et faktisk angreb. For banker med komplekse, fragmenterede og delvist årtier gamle IT-systemer kan det blive en særlig udfordring .

Risikoen kan brede sig til hele finanssystemet. Den Internationale Valutafond (IMF) har advaret om, at hurtigt udviklende, AI-drevne cyberrisici kan "destabilisere det finansielle system, hvis de ikke håndteres omhyggeligt". IMF opfordrer derfor myndighederne til at fokusere på modstandsdygtighed, tilsyn og koordinering – ikke kun på tekniske eller operationelle problemer .

Bekymringen er, at Mythos eller en tilsvarende model kan blive brugt til samtidige angreb mod tæt forbundne dele af den finansielle infrastruktur. Et cyberangreb vil i så fald kunne udvikle sig fra et isoleret IT-problem til en krise for den finansielle stabilitet.

En del af ECB's plan for 2026-2028

ECB's reaktion på Mythos er ikke et enkeltstående panikindgreb. Den passer direkte ind i banktilsynets nye prioriteter for 2026-2028, hvor fokus for første gang i fem år er samlet om to overordnede søjler .

Mythos-sagen hører især under prioritet 2: at styrke bankernes operationelle modstandsdygtighed og deres ICT-kapacitet . ICT står for informations- og kommunikationsteknologi og dækker blandt andet de systemer, som banker bruger til betalinger, kundedata og kritiske driftsfunktioner.

ECB's forventninger omfatter især:

• Fuld efterlevelse af DORA, herunder styring af risici hos eksterne IT-leverandører, rapportering af hændelser og test af digital operationel modstandsdygtighed .
• Hurtig afhjælpning af kendte mangler inden for cybersikkerhed og styring af tredjepartsrisici, som tidligere tilsyn har påpeget .
• En mere moden digital strategi med AI-specifik styring af blandt andet datakvalitet, forklarlighed, modelansvar, koncentrationsrisiko og afhængighed af enkelte AI-leverandører uden for EU .

Det afgørende skifte er, at AI-risiko ikke længere kun behandles som et teknologisk spørgsmål. ECB placerer den nu tydeligere i den almindelige banktilsynsramme – med en forventning om finansierede handlingsplaner og konkrete forbedringer, ikke blot pilotprojekter og overordnede principper .

For bankerne bliver evnen til at opretholde kritiske tjenester under et alvorligt, AI-forstærket cyberangreb dermed en del af vurderingen af, om de er sunde og robuste. Cybersikkerhed er ikke længere en teknisk sideopgave, men en direkte del af bankens sikkerhed.