El catalizador: Claude Mythos Preview de Anthropic

El modelo de IA específico que está en el centro de esta tormenta regulatoria es Claude Mythos Preview de Anthropic . El modelo no se lanzó al público. Anthropic lo restringió a un programa de socios verificado llamado Project Glasswing, formado por unas 40 empresas «críticas» de tecnología y finanzas, incluidos los principales bancos de Wall Street, únicamente para pruebas de ciberseguridad defensiva . A pesar de estas restricciones, las capacidades demostradas del modelo han tenido un impacto profundo e inmediato en los reguladores financieros globales .

Qué convierte a Mythos en una amenaza novedosa y sistémica

Claude Mythos Preview no es un escáner de vulnerabilidades limitado. Representa un salto cualitativo en la capacidad ofensiva de la IA, con las habilidades prácticas para actuar como un operador cibernético autónomo.

Ejecuta ataques de varias fases de forma autónoma. En evaluaciones controladas del Instituto de Seguridad de IA del Reino Unido (AISI), a Mythos Preview se le asignó un objetivo y acceso a la red. Fue capaz de ejecutar de forma autónoma ataques en múltiples fases contra redes vulnerables, incluyendo el descubrimiento y la explotación de fallos de seguridad, tareas que a los profesionales humanos les llevarían días de trabajo . Increíblemente, se convirtió en el primer modelo en resolver un ataque simulado a una red corporativa de 32 pasos de principio a fin, logrando un compromiso completo en 3 de cada 10 intentos .

Encuentra miles de vulnerabilidades críticas a velocidad de máquina. Las propias pruebas de Anthropic revelaron que el modelo encontró «miles de vulnerabilidades de alta gravedad, incluyendo algunas en todos los sistemas operativos y navegadores web principales» . El modelo puede identificar y luego explotar vulnerabilidades de día cero, fallos desconocidos para el proveedor de software y para los que no existe parche, antes de que los defensores humanos siquiera sean conscientes de su existencia . Esto colapsa fundamentalmente la ventana tradicional entre la divulgación de una vulnerabilidad y su explotación real, presionando a los bancos que dependen de sistemas informáticos fragmentados y con décadas de antigüedad .

Supone un riesgo sistémico para todo el sistema financiero. El Fondo Monetario Internacional (FMI) emitió una advertencia temprana, señalando que los riesgos cibernéticos impulsados por IA, rápidos y de este tipo, podrían «desestabilizar el sistema financiero si no se gestionan con cuidado», instando a las autoridades a ir más allá de tratar estos desarrollos como cuestiones puramente técnicas u operativas . La preocupación es que Mythos, o un modelo comparable, pudiera ser utilizado como arma para lanzar ataques a gran escala y simultáneos contra la infraestructura financiera interconectada, convirtiendo un incidente cibernético en una crisis de estabilidad financiera.

Cómo encaja la Directiva Mythos en el Plan Director de Supervisión 2026-2028 del BCE

La acción urgente sobre Mythos no es un pánico aislado. Es la acción de cumplimiento más agresiva y temprana dentro de las prioridades de supervisión recién simplificadas del BCE para 2026-2028, que por primera vez en cinco años reducen el enfoque a dos pilares centrales .

La directiva se sitúa directamente bajo la Prioridad 2: fortalecer la resiliencia operativa de los bancos y fomentar capacidades TIC sólidas . Esta prioridad es un mandato amplio que espera que los bancos hagan lo siguiente:

• Cumplir plenamente con DORA, específicamente en lo relativo al riesgo de terceros en TIC, la notificación de incidentes y las pruebas de resiliencia operativa digital .
• Abordar las deficiencias conocidas en ciberseguridad y gestión de riesgos de terceros que se han señalado en revisiones anteriores .
• Desarrollar una estrategia digital madura y a largo plazo con una gobernanza sólida específica para la IA, incluyendo la gestión de riesgos en torno a la calidad de los datos, la explicabilidad de los modelos, el riesgo de concentración derivado de un puñado de proveedores de IA no pertenecientes a la UE y la dependencia de proveedores .

La reunión y la directiva impulsadas por Mythos representan el paso del BCE de considerar «el riesgo de IA como un tema tecnológico» a tratarlo como «un tema de supervisión prudencial», con la expectativa implícita de planes de remediación concretos y financiados, no proyectos piloto ni principios . El mensaje subyacente es que, dentro de este ciclo de tres años, la capacidad de un banco para sobrevivir y mantener servicios críticos a través de una grave interrupción cibernética habilitada por IA ya no es un detalle técnico: es una medida central de su solidez y seguridad.

El catalizador: Claude Mythos Preview de Anthropic

El modelo de IA específico que está en el centro de esta tormenta regulatoria es Claude Mythos Preview de Anthropic . El modelo no se lanzó al público. Anthropic lo restringió a un programa de socios verificado llamado Project Glasswing, formado por unas 40 empresas «críticas» de tecnología y finanzas, incluidos los principales bancos de Wall Street, únicamente para pruebas de ciberseguridad defensiva . A pesar de estas restricciones, las capacidades demostradas del modelo han tenido un impacto profundo e inmediato en los reguladores financieros globales .

Qué convierte a Mythos en una amenaza novedosa y sistémica

Claude Mythos Preview no es un escáner de vulnerabilidades limitado. Representa un salto cualitativo en la capacidad ofensiva de la IA, con las habilidades prácticas para actuar como un operador cibernético autónomo.

Ejecuta ataques de varias fases de forma autónoma. En evaluaciones controladas del Instituto de Seguridad de IA del Reino Unido (AISI), a Mythos Preview se le asignó un objetivo y acceso a la red. Fue capaz de ejecutar de forma autónoma ataques en múltiples fases contra redes vulnerables, incluyendo el descubrimiento y la explotación de fallos de seguridad, tareas que a los profesionales humanos les llevarían días de trabajo . Increíblemente, se convirtió en el primer modelo en resolver un ataque simulado a una red corporativa de 32 pasos de principio a fin, logrando un compromiso completo en 3 de cada 10 intentos .

Encuentra miles de vulnerabilidades críticas a velocidad de máquina. Las propias pruebas de Anthropic revelaron que el modelo encontró «miles de vulnerabilidades de alta gravedad, incluyendo algunas en todos los sistemas operativos y navegadores web principales» . El modelo puede identificar y luego explotar vulnerabilidades de día cero, fallos desconocidos para el proveedor de software y para los que no existe parche, antes de que los defensores humanos siquiera sean conscientes de su existencia . Esto colapsa fundamentalmente la ventana tradicional entre la divulgación de una vulnerabilidad y su explotación real, presionando a los bancos que dependen de sistemas informáticos fragmentados y con décadas de antigüedad .

Supone un riesgo sistémico para todo el sistema financiero. El Fondo Monetario Internacional (FMI) emitió una advertencia temprana, señalando que los riesgos cibernéticos impulsados por IA, rápidos y de este tipo, podrían «desestabilizar el sistema financiero si no se gestionan con cuidado», instando a las autoridades a ir más allá de tratar estos desarrollos como cuestiones puramente técnicas u operativas . La preocupación es que Mythos, o un modelo comparable, pudiera ser utilizado como arma para lanzar ataques a gran escala y simultáneos contra la infraestructura financiera interconectada, convirtiendo un incidente cibernético en una crisis de estabilidad financiera.

Cómo encaja la Directiva Mythos en el Plan Director de Supervisión 2026-2028 del BCE

La acción urgente sobre Mythos no es un pánico aislado. Es la acción de cumplimiento más agresiva y temprana dentro de las prioridades de supervisión recién simplificadas del BCE para 2026-2028, que por primera vez en cinco años reducen el enfoque a dos pilares centrales .

La directiva se sitúa directamente bajo la Prioridad 2: fortalecer la resiliencia operativa de los bancos y fomentar capacidades TIC sólidas . Esta prioridad es un mandato amplio que espera que los bancos hagan lo siguiente:

• Cumplir plenamente con DORA, específicamente en lo relativo al riesgo de terceros en TIC, la notificación de incidentes y las pruebas de resiliencia operativa digital .
• Abordar las deficiencias conocidas en ciberseguridad y gestión de riesgos de terceros que se han señalado en revisiones anteriores .
• Desarrollar una estrategia digital madura y a largo plazo con una gobernanza sólida específica para la IA, incluyendo la gestión de riesgos en torno a la calidad de los datos, la explicabilidad de los modelos, el riesgo de concentración derivado de un puñado de proveedores de IA no pertenecientes a la UE y la dependencia de proveedores .

La reunión y la directiva impulsadas por Mythos representan el paso del BCE de considerar «el riesgo de IA como un tema tecnológico» a tratarlo como «un tema de supervisión prudencial», con la expectativa implícita de planes de remediación concretos y financiados, no proyectos piloto ni principios . El mensaje subyacente es que, dentro de este ciclo de tres años, la capacidad de un banco para sobrevivir y mantener servicios críticos a través de una grave interrupción cibernética habilitada por IA ya no es un detalle técnico: es una medida central de su solidez y seguridad.