Der Auslöser: Anthropics Claude Mythos Preview

Das spezifische KI-Modell im Zentrum dieses regulatorischen Sturms ist Anthropics Claude Mythos Preview . Das Modell wurde nicht öffentlich zugänglich gemacht. Stattdessen beschränkte Anthropic es auf ein geprüftes Partnerprogramm namens Project Glasswing, das rund 40 „kritische“ Technologie- und Finanzunternehmen umfasst, darunter große Wall-Street-Banken – und zwar nur für defensive Cybersicherheitstests . Trotz dieser Beschränkungen haben die demonstrierten Fähigkeiten des Modells tiefgreifende und unmittelbare Auswirkungen auf die globalen Finanzregulierungsbehörden .

Was Mythos zu einer neuartigen und systemischen Bedrohung macht

Claude Mythos Preview ist kein schmaler Schwachstellen-Scanner. Es stellt einen qualitativen Sprung in der offensiven KI-Fähigkeit dar – mit den praktischen Fertigkeiten, als autonomer Cyber-Operator zu agieren.

Führt mehrstufige Angriffe autonom aus. In kontrollierten Evaluierungen des britischen KI-Sicherheitsinstituts (UK AI Security Institute, AISI) erhielt Mythos Preview ein Ziel und Netzwerkzugang. Es war in der Lage, mehrstufige Angriffe auf verwundbare Netzwerke autonom auszuführen, einschließlich der Entdeckung und Ausnutzung von Sicherheitslücken – Aufgaben, für die menschliche Experten Tage gebraucht hätten . Unglaublicherweise war es das erste Modell, das einen 32-stufigen simulierten Konzernnetzwerk-Angriff von Anfang bis Ende löste und in 3 von 10 Versuchen eine vollständige Kompromittierung erreichte .

Findet Tausende kritischer Schwachstellen mit Maschinengeschwindigkeit. Anthropics eigene Tests ergaben, dass das Modell „Tausende von Schwachstellen mit hohem Schweregrad fand, darunter einige in jedem großen Betriebssystem und jedem wichtigen Webbrowser“ . Das Modell kann Zero-Day-Schwachstellen identifizieren und dann ausnutzen – also Fehler, die dem Softwareanbieter unbekannt sind und für die es noch keinen Patch gibt – und zwar bevor menschliche Verteidiger überhaupt von ihrer Existenz wissen . Dies kollabiert das herkömmliche Zeitfenster zwischen der Offenlegung einer Schwachstelle und ihrer tatsächlichen Ausnutzung grundlegend – und setzt Banken unter Druck, die auf fragmentierte, jahrzehntealte IT-Systeme angewiesen sind .

Stellt ein systemisches Risiko für das gesamte Finanzsystem dar. Der Internationale Währungsfonds (IWF) gab eine Frühwarnung heraus und erklärte, dass sich schnell bewegende, KI-gesteuerte Cyberrisiken dieser Art das „Finanzsystem destabilisieren könnten, wenn sie nicht sorgfältig gemanagt werden“. Er forderte die Behörden nachdrücklich auf, diese Entwicklungen nicht mehr als rein technische oder operative Angelegenheiten zu behandeln . Die Sorge ist, dass Mythos – oder ein vergleichbares Modell – als Waffe eingesetzt werden könnte, um groß angelegte, gleichzeitige Angriffe auf die vernetzte Finanzinfrastruktur zu starten und so aus einem Cyber-Vorfall eine Finanzstabilitätskrise werden zu lassen.

Wie die Mythos-Direktive in den Aufsichts-Masterplan der EZB 2026–2028 passt

Das dringende Handeln zu Mythos ist keine isolierte Panikreaktion. Es ist der aggressivste frühzeitige Durchsetzungsschlag im Rahmen der neu gestrafften Aufsichtsprioritäten der EZB für 2026–2028, die zum ersten Mal seit fünf Jahren den Fokus auf nur zwei Kernpfeiler verengen .

Die Direktive steht genau unter Priorität 2: Stärkung der operativen Resilienz der Banken und Förderung robuster IKT-Kapazitäten . Diese Priorität ist ein breites Mandat, das von den Banken Folgendes erwartet:

• DORA vollständig einhalten, insbesondere im Hinblick auf IKT-Drittanbieterrisiken, die Meldung von Vorfällen und Tests der digitalen operationellen Resilienz .
• Bekannte Mängel im Bereich Cybersicherheit und Drittanbieter-Risikomanagement beheben, die in früheren Prüfungen beanstandet wurden .
• Eine ausgereifte, langfristige Digitalstrategie entwickeln mit einer robusten KI-spezifischen Governance, einschließlich des Managements von Risiken in Bezug auf Datenqualität, Modellerklärbarkeit, Konzentrationsrisiken durch eine Handvoll Nicht-EU-KI-Anbieter und Vendor-Lock-in .

Das Mythos-getriebene Treffen und die Direktive markieren den Wandel der EZB vom „KI-Risiko als Tech-Thema“ hin zum „KI-Risiko als prudenzielles Aufsichtsthema“ – mit der impliziten Erwartung konkreter, finanzierter Sanierungspläne, nicht von Pilotprojekten und Prinzipien . Die zugrundeliegende Botschaft ist, dass innerhalb dieses Dreijahreszyklus die Fähigkeit einer Bank, schwere, KI-gestützte Cyberstörungen zu überstehen und kritische Dienstleistungen aufrechtzuerhalten, keine technische Spielerei mehr ist – es ist ein Kernmaßstab für ihre Sicherheit und Solidität.

Der Auslöser: Anthropics Claude Mythos Preview

Das spezifische KI-Modell im Zentrum dieses regulatorischen Sturms ist Anthropics Claude Mythos Preview . Das Modell wurde nicht öffentlich zugänglich gemacht. Stattdessen beschränkte Anthropic es auf ein geprüftes Partnerprogramm namens Project Glasswing, das rund 40 „kritische“ Technologie- und Finanzunternehmen umfasst, darunter große Wall-Street-Banken – und zwar nur für defensive Cybersicherheitstests . Trotz dieser Beschränkungen haben die demonstrierten Fähigkeiten des Modells tiefgreifende und unmittelbare Auswirkungen auf die globalen Finanzregulierungsbehörden .

Was Mythos zu einer neuartigen und systemischen Bedrohung macht

Claude Mythos Preview ist kein schmaler Schwachstellen-Scanner. Es stellt einen qualitativen Sprung in der offensiven KI-Fähigkeit dar – mit den praktischen Fertigkeiten, als autonomer Cyber-Operator zu agieren.

Führt mehrstufige Angriffe autonom aus. In kontrollierten Evaluierungen des britischen KI-Sicherheitsinstituts (UK AI Security Institute, AISI) erhielt Mythos Preview ein Ziel und Netzwerkzugang. Es war in der Lage, mehrstufige Angriffe auf verwundbare Netzwerke autonom auszuführen, einschließlich der Entdeckung und Ausnutzung von Sicherheitslücken – Aufgaben, für die menschliche Experten Tage gebraucht hätten . Unglaublicherweise war es das erste Modell, das einen 32-stufigen simulierten Konzernnetzwerk-Angriff von Anfang bis Ende löste und in 3 von 10 Versuchen eine vollständige Kompromittierung erreichte .

Findet Tausende kritischer Schwachstellen mit Maschinengeschwindigkeit. Anthropics eigene Tests ergaben, dass das Modell „Tausende von Schwachstellen mit hohem Schweregrad fand, darunter einige in jedem großen Betriebssystem und jedem wichtigen Webbrowser“ . Das Modell kann Zero-Day-Schwachstellen identifizieren und dann ausnutzen – also Fehler, die dem Softwareanbieter unbekannt sind und für die es noch keinen Patch gibt – und zwar bevor menschliche Verteidiger überhaupt von ihrer Existenz wissen . Dies kollabiert das herkömmliche Zeitfenster zwischen der Offenlegung einer Schwachstelle und ihrer tatsächlichen Ausnutzung grundlegend – und setzt Banken unter Druck, die auf fragmentierte, jahrzehntealte IT-Systeme angewiesen sind .

Stellt ein systemisches Risiko für das gesamte Finanzsystem dar. Der Internationale Währungsfonds (IWF) gab eine Frühwarnung heraus und erklärte, dass sich schnell bewegende, KI-gesteuerte Cyberrisiken dieser Art das „Finanzsystem destabilisieren könnten, wenn sie nicht sorgfältig gemanagt werden“. Er forderte die Behörden nachdrücklich auf, diese Entwicklungen nicht mehr als rein technische oder operative Angelegenheiten zu behandeln . Die Sorge ist, dass Mythos – oder ein vergleichbares Modell – als Waffe eingesetzt werden könnte, um groß angelegte, gleichzeitige Angriffe auf die vernetzte Finanzinfrastruktur zu starten und so aus einem Cyber-Vorfall eine Finanzstabilitätskrise werden zu lassen.

Wie die Mythos-Direktive in den Aufsichts-Masterplan der EZB 2026–2028 passt

Das dringende Handeln zu Mythos ist keine isolierte Panikreaktion. Es ist der aggressivste frühzeitige Durchsetzungsschlag im Rahmen der neu gestrafften Aufsichtsprioritäten der EZB für 2026–2028, die zum ersten Mal seit fünf Jahren den Fokus auf nur zwei Kernpfeiler verengen .

Die Direktive steht genau unter Priorität 2: Stärkung der operativen Resilienz der Banken und Förderung robuster IKT-Kapazitäten . Diese Priorität ist ein breites Mandat, das von den Banken Folgendes erwartet:

• DORA vollständig einhalten, insbesondere im Hinblick auf IKT-Drittanbieterrisiken, die Meldung von Vorfällen und Tests der digitalen operationellen Resilienz .
• Bekannte Mängel im Bereich Cybersicherheit und Drittanbieter-Risikomanagement beheben, die in früheren Prüfungen beanstandet wurden .
• Eine ausgereifte, langfristige Digitalstrategie entwickeln mit einer robusten KI-spezifischen Governance, einschließlich des Managements von Risiken in Bezug auf Datenqualität, Modellerklärbarkeit, Konzentrationsrisiken durch eine Handvoll Nicht-EU-KI-Anbieter und Vendor-Lock-in .

Das Mythos-getriebene Treffen und die Direktive markieren den Wandel der EZB vom „KI-Risiko als Tech-Thema“ hin zum „KI-Risiko als prudenzielles Aufsichtsthema“ – mit der impliziten Erwartung konkreter, finanzierter Sanierungspläne, nicht von Pilotprojekten und Prinzipien . Die zugrundeliegende Botschaft ist, dass innerhalb dieses Dreijahreszyklus die Fähigkeit einer Bank, schwere, KI-gestützte Cyberstörungen zu überstehen und kritische Dienstleistungen aufrechtzuerhalten, keine technische Spielerei mehr ist – es ist ein Kernmaßstab für ihre Sicherheit und Solidität.