מבחינה מעשית, הבנקים נדרשים להאיץ את התקנת עדכוני האבטחה, לחזק את מסגרות החוסן שלהם ולוודא עמידה מלאה ב-DORA — חוק האיחוד האירופי לחוסן תפעולי דיגיטלי .

Claude Mythos Preview: הטריגר לאזהרה

Claude Mythos Preview הוא המודל שעמד במרכז הדיון הפיקוחי . Anthropic לא השיקה אותו לציבור הרחב, אלא הגבילה את השימוש בו לתוכנית שותפים שנבדקה מראש, Project Glasswing. בתוכנית משתתפות כ-40 חברות טכנולוגיה ופיננסים שהוגדרו "קריטיות", ובהן בנקים גדולים בוול סטריט. השימוש נועד לבדיקות הגנתיות ולחיזוק מערכי הסייבר בלבד .

אף שהמודל נשאר במסגרת מוגבלת, היכולות שהוצגו בו הספיקו כדי לשנות את הערכת הסיכון של רגולטורים פיננסיים ברחבי העולם .

מה הופך את Mythos לאיום חדש עבור בנקים?

Mythos אינו רק סורק חולשות מתקדם. בבדיקות שנערכו לו הוא הפגין יכולת להתנהל במידה רבה כמו מפעיל סייבר אוטונומי — לאתר מטרות, לתכנן רצף פעולות ולבצע מתקפה מורכבת.

ביצוע אוטונומי של מתקפות רב-שלביות: בבדיקות מבוקרות של המכון הבריטי לבטיחות AI (AISI), המודל קיבל יעד וגישה לרשת. הוא הצליח לבצע באופן אוטונומי מתקפות רב-שלביות על רשתות פגיעות, כולל איתור וניצול של חולשות — משימות שעלולות לדרוש מאנשי מקצוע אנושיים ימים של עבודה . Mythos היה גם המודל הראשון שהשלים מתחילתו ועד סופו תרחיש תקיפה מדומה של רשת ארגונית בת 32 שלבים; הוא השיג השתלטות מלאה בשלושה מתוך עשרה ניסיונות .

איתור של אלפי חולשות במהירות מכונה: Anthropic דיווחה כי המודל מצא "אלפי חולשות בדרגת חומרה גבוהה, כולל חולשות בכל מערכת הפעלה ובכל דפדפן מרכזיים" . לפי החברה, בבדיקות הוא היה מסוגל לזהות ולאחר מכן לנצל חולשות מסוג zero-day — פגמים שאינם ידועים לספק התוכנה ולכן עדיין אין להם תיקון זמין .

המשמעות היא הצטמצמות דרמטית של פרק הזמן שבין חשיפת חולשה לבין ניצולה בפועל. זו בעיה משמעותית במיוחד עבור בנקים שמפעילים מערכות IT מפוצלות, שחלקן מבוססות על תשתיות ותיקות .

סיכון למערכת הפיננסית כולה: קרן המטבע הבינלאומית (IMF) הזהירה כי סיכוני סייבר מהירים ומבוססי-AI מסוג זה עלולים "לערער את היציבות של המערכת הפיננסית אם לא ינוהלו בזהירות". הקרן קראה לרשויות להפסיק להתייחס להתפתחויות כאלה כאל בעיה טכנית או תפעולית בלבד, ולהתמקד בחוסן, בפיקוח ובתיאום בין הגופים .

החשש המרכזי הוא שמודל כמו Mythos — או מודל בעל יכולות דומות — ינוצל להפעלת מתקפות רחבות ומתואמות נגד תשתיות פיננסיות המקושרות זו לזו. במקרה כזה, אירוע סייבר עלול להפוך במהירות לאירוע של יציבות פיננסית.

כיצד המהלך משתלב בתוכנית הפיקוח של ה-ECB ל-2026–2028?

התגובה ל-Mythos אינה צעד מבודד שנולד מתוך בהלה. היא משתלבת בתוכנית הפיקוח החדשה של ה-ECB לשנים 2026–2028, שבה צומצם לראשונה זה חמש שנים מספר העדיפויות המרכזיות לשני עמודי תווך .

המהלך נמצא בלב עדיפות 2: חיזוק החוסן התפעולי של הבנקים וביסוס יכולות ICT חזקות . במסגרת זו מצופה מהבנקים:

• לעמוד באופן מלא בדרישות DORA, במיוחד בתחומי הסיכון מספקי ICT חיצוניים, דיווח על אירועים ובדיקות של החוסן התפעולי הדיגיטלי .
• לתקן ליקויים מוכרים באבטחת סייבר ובניהול סיכוני צד שלישי, שכבר זוהו בבדיקות קודמות .
• לבנות אסטרטגיה דיגיטלית ארוכת טווח ובשלה יותר, הכוללת ממשל ייעודי ל-AI וטיפול באיכות הנתונים, ביכולת להסביר את תוצרי המודלים, בסיכון הריכוזיות הנובע מהסתמכות על מספר מצומצם של ספקי AI שאינם מהאיחוד האירופי ובתלות בספק יחיד — vendor lock-in .

המשמעות הרחבה היא שינוי נקודת המבט של הרגולטור: סיכון AI אינו עוד רק נושא של מחלקת הטכנולוגיה, אלא נושא של פיקוח על יציבות הבנק. לכן, ה-ECB מצפה לתוכניות תיקון ממשיות ומתוקצבות — לא רק לפיילוטים, עקרונות כלליים או הצהרות כוונות .

במהלך מחזור הפיקוח התלת-שנתי, היכולת של בנק להמשיך לספק שירותים חיוניים גם לאחר שיבוש חמור שמופעל בעזרת AI הופכת ממעלה טכנית למדד בסיסי לבטיחותו ולחוסנו.

מבחינה מעשית, הבנקים נדרשים להאיץ את התקנת עדכוני האבטחה, לחזק את מסגרות החוסן שלהם ולוודא עמידה מלאה ב-DORA — חוק האיחוד האירופי לחוסן תפעולי דיגיטלי .

Claude Mythos Preview: הטריגר לאזהרה

Claude Mythos Preview הוא המודל שעמד במרכז הדיון הפיקוחי . Anthropic לא השיקה אותו לציבור הרחב, אלא הגבילה את השימוש בו לתוכנית שותפים שנבדקה מראש, Project Glasswing. בתוכנית משתתפות כ-40 חברות טכנולוגיה ופיננסים שהוגדרו "קריטיות", ובהן בנקים גדולים בוול סטריט. השימוש נועד לבדיקות הגנתיות ולחיזוק מערכי הסייבר בלבד .

אף שהמודל נשאר במסגרת מוגבלת, היכולות שהוצגו בו הספיקו כדי לשנות את הערכת הסיכון של רגולטורים פיננסיים ברחבי העולם .

מה הופך את Mythos לאיום חדש עבור בנקים?

Mythos אינו רק סורק חולשות מתקדם. בבדיקות שנערכו לו הוא הפגין יכולת להתנהל במידה רבה כמו מפעיל סייבר אוטונומי — לאתר מטרות, לתכנן רצף פעולות ולבצע מתקפה מורכבת.

ביצוע אוטונומי של מתקפות רב-שלביות: בבדיקות מבוקרות של המכון הבריטי לבטיחות AI (AISI), המודל קיבל יעד וגישה לרשת. הוא הצליח לבצע באופן אוטונומי מתקפות רב-שלביות על רשתות פגיעות, כולל איתור וניצול של חולשות — משימות שעלולות לדרוש מאנשי מקצוע אנושיים ימים של עבודה . Mythos היה גם המודל הראשון שהשלים מתחילתו ועד סופו תרחיש תקיפה מדומה של רשת ארגונית בת 32 שלבים; הוא השיג השתלטות מלאה בשלושה מתוך עשרה ניסיונות .

איתור של אלפי חולשות במהירות מכונה: Anthropic דיווחה כי המודל מצא "אלפי חולשות בדרגת חומרה גבוהה, כולל חולשות בכל מערכת הפעלה ובכל דפדפן מרכזיים" . לפי החברה, בבדיקות הוא היה מסוגל לזהות ולאחר מכן לנצל חולשות מסוג zero-day — פגמים שאינם ידועים לספק התוכנה ולכן עדיין אין להם תיקון זמין .

המשמעות היא הצטמצמות דרמטית של פרק הזמן שבין חשיפת חולשה לבין ניצולה בפועל. זו בעיה משמעותית במיוחד עבור בנקים שמפעילים מערכות IT מפוצלות, שחלקן מבוססות על תשתיות ותיקות .

סיכון למערכת הפיננסית כולה: קרן המטבע הבינלאומית (IMF) הזהירה כי סיכוני סייבר מהירים ומבוססי-AI מסוג זה עלולים "לערער את היציבות של המערכת הפיננסית אם לא ינוהלו בזהירות". הקרן קראה לרשויות להפסיק להתייחס להתפתחויות כאלה כאל בעיה טכנית או תפעולית בלבד, ולהתמקד בחוסן, בפיקוח ובתיאום בין הגופים .

החשש המרכזי הוא שמודל כמו Mythos — או מודל בעל יכולות דומות — ינוצל להפעלת מתקפות רחבות ומתואמות נגד תשתיות פיננסיות המקושרות זו לזו. במקרה כזה, אירוע סייבר עלול להפוך במהירות לאירוע של יציבות פיננסית.

כיצד המהלך משתלב בתוכנית הפיקוח של ה-ECB ל-2026–2028?

התגובה ל-Mythos אינה צעד מבודד שנולד מתוך בהלה. היא משתלבת בתוכנית הפיקוח החדשה של ה-ECB לשנים 2026–2028, שבה צומצם לראשונה זה חמש שנים מספר העדיפויות המרכזיות לשני עמודי תווך .

המהלך נמצא בלב עדיפות 2: חיזוק החוסן התפעולי של הבנקים וביסוס יכולות ICT חזקות . במסגרת זו מצופה מהבנקים:

• לעמוד באופן מלא בדרישות DORA, במיוחד בתחומי הסיכון מספקי ICT חיצוניים, דיווח על אירועים ובדיקות של החוסן התפעולי הדיגיטלי .
• לתקן ליקויים מוכרים באבטחת סייבר ובניהול סיכוני צד שלישי, שכבר זוהו בבדיקות קודמות .
• לבנות אסטרטגיה דיגיטלית ארוכת טווח ובשלה יותר, הכוללת ממשל ייעודי ל-AI וטיפול באיכות הנתונים, ביכולת להסביר את תוצרי המודלים, בסיכון הריכוזיות הנובע מהסתמכות על מספר מצומצם של ספקי AI שאינם מהאיחוד האירופי ובתלות בספק יחיד — vendor lock-in .

המשמעות הרחבה היא שינוי נקודת המבט של הרגולטור: סיכון AI אינו עוד רק נושא של מחלקת הטכנולוגיה, אלא נושא של פיקוח על יציבות הבנק. לכן, ה-ECB מצפה לתוכניות תיקון ממשיות ומתוקצבות — לא רק לפיילוטים, עקרונות כלליים או הצהרות כוונות .

במהלך מחזור הפיקוח התלת-שנתי, היכולת של בנק להמשיך לספק שירותים חיוניים גם לאחר שיבוש חמור שמופעל בעזרת AI הופכת ממעלה טכנית למדד בסיסי לבטיחותו ולחוסנו.