ECB ने यूरो जोन के बैंकों से कहा: 'अभी पैच करें', एंथ्रोपिक के मिथोस AI ने साइबर खतरों को नए सिरे से परिभाषित किया

मई 2026 के अंत में, यूरोपीय सेंट्रल बैंक (ECB) ने अपने सामान्य संयमित पर्यवेक्षी लहजे को तोड़ते हुए यूरो ज़ोन के वित्तीय क्षेत्र के लिए एक सीधा और तत्काल संदेश जारी किया: एक खास कमर्शियल एआई मॉडल ने साइबर खतरे के माहौल को मौलिक रूप से बदल दिया है, और मानक पैचिंग चक्रों का समय अब समाप्त हो चुका है।

यह मॉडल है एंथ्रोपिक का 'क्लॉड मिथोस प्रीव्यू', एक ऐसी प्रणाली जो सॉफ्टवेयर कमजोरियों को खोजने और उनका शोषण करने में इतनी कुशल है कि इसके निर्माताओं ने खुद ही इसकी सार्वजनिक पहुंच को प्रतिबंधित कर दिया। ECB की चेतावनी कोरी कल्पना नहीं थी। जब ये चर्चाएं हो रही थीं, तब तक मिथोस 281 ओपन-सोर्स परियोजनाओं में 1,596 'जीरो-डे' खामियां खोज चुका था, जिनमें से केवल 97 को ही ठीक किया जा सका था । खुद एंथ्रोपिक ने बताया कि उसके द्वारा खोजी गईं 99% से अधिक कमजोरियों को अभी तक ठीक नहीं किया गया है, जिससे उनका सार्वजनिक खुलासा गैर-जिम्मेदाराना होता ।

ECB के संदेश का मूल तत्व, जो ऋणदाताओं के साथ बढ़ती गंभीर बैठकों की एक श्रृंखला में दिया गया, यह था कि सभी बैंक मिथोस को एक सक्रिय जोखिम मानें और अभी अपने सिस्टम को पैच करें — भले ही उनके पास इस मॉडल तक सीधी पहुंच हो या नहीं । यह लेख उन विशिष्ट चिंताओं, तनावपूर्ण भू-राजनीतिक पृष्ठभूमि और नियामकीय गतिरोध को उजागर करता है जिसने इस संकट को परिभाषित किया।

चेतावनी: एक नए तरह का खतरे का मंजर

ECB के उपाध्यक्ष लुइस डी गिंडोस ने 27 मई को इस नई सच्चाई का सार प्रस्तुत करते हुए संवाददाताओं से कहा कि बैंकों को "साइबर सुरक्षा में और अधिक निवेश करना होगा यदि उन्हें सॉफ्टवेयर में खामियां खोजने वाले नए एआई मॉडलों पर काबू पाना है" । उनके पर्यवेक्षी बोर्ड के उपाध्यक्ष, फ्रैंक एल्डरसन, कुछ दिन पहले और भी अधिक सीधे होकर इस बदलाव को परिचालन भाषा में रेखांकित कर चुके थे: "फ्रंटियर मॉडलों की स्वायत्त साइबर क्षमता तेजी से आगे बढ़ रही है। साइबर कार्यों की वह लंबाई, जिसे फ्रंटियर मॉडल स्वायत्त रूप से पूरा कर सकते हैं, कुछ ही महीनों में दोगुनी हो गई है" ।

जिन विशिष्ट क्षमताओं ने अलार्म बजाया, वे दो प्रकार की थीं। पहला, मिथोस की कमजोरी का पता लगाने की क्षमता इतने बड़े पैमाने और गति पर काम कर रही थी कि इसने पारंपरिक सुरक्षा उपकरणों और मानवीय पैचिंग चक्रों को अप्रचलित बना दिया। इसने सैकड़ों परियोजनाओं में हजारों खामियों की पहचान इतनी तेजी से की थी जितनी तेजी से कोई भी मानव टीम या पारंपरिक स्कैनर नहीं कर सकता था । दूसरा, और अधिक चिंताजनक, यह कि मॉडल ने एक दोहरे उपयोग वाली आक्रामक क्षमता का प्रदर्शन किया: यह न केवल खामियां ढूंढ सकता था बल्कि उनके लिए काम करने वाले 'शोषण उपकरण' भी तैयार कर सकता था, कुछ मूल्यांकनों के अनुसार पहले प्रयास में इसकी सफलता दर 83% से अधिक थी ।

इस संयोजन का मतलब था कि दुर्भावनापूर्ण तत्व — चाहे वे राज्य-प्रायोजित समूह हों या परिष्कृत अपराधी — सैद्धांतिक रूप से समान एआई उपकरणों का इस्तेमाल करके बैंकिंग बुनियादी ढांचे को स्कैन कर सकते थे, अनपैच्ड कमजोरियों की पहचान कर सकते थे, और इससे पहले कि संस्थाएं प्रतिक्रिया कर पातीं, हमले शुरू कर सकते थे। ECB इस निष्कर्ष पर पहुंचा कि बचाव की समय-सीमा को हफ्तों या महीनों से बदलकर घंटों या मिनटों में करने की जरूरत है ।

'अभी पैच करें': पहुंच न होना कोई बहाना नहीं

ECB के संदेश का शायद सबसे असामान्य तत्व एक ऐसे तर्क का पूर्व-निवारक खंडन था, जिसके बारे में उसे पता था कि बैंक इसे बनाएंगे: "हमारे पास मिथोस तक पहुंच नहीं है, तो हम इससे बचाव कैसे कर सकते हैं?"

एल्डरसन का जवाब असंदिग्ध था। उन्होंने 13 मई को एक साक्षात्कार में कहा, "पहुंच की कमी निष्क्रियता का बहाना नहीं है। इसके विपरीत, यह इसे और भी अधिक महत्वपूर्ण बनाता है कि बैंक अभी कदम उठाएं और कार्रवाई करें" । मई के अंत तक यह संदेश एक परिचालन निर्देश में तब्दील हो चुका था: सॉफ्टवेयर पैच की तैनाती में तेजी लाएं। नियामक ने "वित्तीय प्रणाली के लिए खतरे की गंभीरता" पर जोर दिया और ऋणदाताओं पर अपने आईटी सिस्टम को सुरक्षित करने के काम में तेजी लाने का दबाव डाला, मॉडल को एक सक्रिय जोखिम के रूप में देखने पर जोर दिया, भले ही उनकी खुद की पहुंच की स्थिति कुछ भी हो ।

ECB की बढ़ती कार्रवाई: पूछताछ से लेकर आपातकालीन सम्मन तक

2026 के वसंत में ECB की गतिविधियां एक ऐसे नियामक को दर्शाती हैं जो अपने मौजूदा पर्यवेक्षी टूलकिट से तेज़ एक खतरे को समझने और नियंत्रित करने की होड़ में था।

• अप्रैल 2026 के मध्य: ECB ने यूरो ज़ोन के ऋणदाताओं के मुख्य जोखिम अधिकारियों के साथ मिथोस से उत्पन्न जोखिमों के उनके आकलन पर चर्चा करने के लिए एक कॉन्फ्रेंस कॉल बुलाई । इस चरण में, लहज़ा जिज्ञासापूर्ण था — पर्यवेक्षक जोखिम के एक नए संभावित स्रोत के बारे में जानकारी जुटा रहे थे।
• 13 मई, 2026: रुख सार्वजनिक तत्परता में बदल गया। एल्डरसन ने ECB सुपरविजन न्यूज़लैटर के साक्षात्कार का उपयोग करते हुए बैंकों से एआई-सहायता प्राप्त साइबर हमलों के लिए शीघ्रता से तैयार होने का आग्रह किया, और स्पष्ट रूप से मिथोस और इसी तरह के उपकरणों का नाम लिया ।
• 24-26 मई, 2026: यह सक्रियता अपने चरम पर पहुंची। ECB ने 26 मई को यूरो ज़ोन के बैंक कार्यकारियों को एक आपातकालीन बैठक में बुलाया, जबकि एक ऑनलाइन सत्र की मेजबानी भी की, जिसमें अनुभव साझा करने और सामान्य चुनौतियों पर चर्चा करने के लिए "उद्योग, सार्वजनिक क्षेत्र और प्रतिनिधि संघों के 300 से अधिक प्रतिभागी" शामिल हुए ।

यह क्रम खुफिया जानकारी जुटाने से लेकर परिचालन दबाव बनाने तक की प्रगति को दर्शाता है। मई के आखिरी हफ्ते तक, ECB अब यह नहीं पूछ रहा था कि बैंक क्या जानते हैं; बल्कि वह उन्हें बता रहा था कि उन्हें क्या करना है।

प्रोजेक्ट ग्लासविंग और खुफिया विषमता

इस संकट के केंद्र में प्रोजेक्ट ग्लासविंग है, जो एंथ्रोपिक का नियंत्रित वितरण कार्यक्रम है। मिथोस को सार्वजनिक रूप से जारी करने के बजाय, कंपनी ने महत्वपूर्ण-बुनियादी ढांचे के भागीदारों के एक प्रतिबंधित संघ को पहुंच प्रदान की, जिसमें जेपी मॉर्गन चेस और बैंक ऑफ अमेरिका जैसे प्रमुख अमेरिकी बैंक शामिल थे, ताकि वे इस मॉडल का उपयोग अपने सिस्टम में खामियां खोजने और उन्हें ठीक करने में कर सकें ।

यूरोपीय बैंकों को बड़े पैमाने पर बाहर रखा गया था। इसने एक तीखी सूचना विषमता पैदा कर दी: अमेरिकी संस्थान अब तक बने सबसे उन्नत साइबर सुरक्षा AI के साथ अपने सिस्टम की जांच कर सकते थे, जबकि यूरोपीय ऋणदाता उन्हीं कमजोरियों के प्रति अंधे बने रहे, जिन्हें मिथोस उजागर कर सकता था और, संभावित रूप से, जिनका शत्रु शोषण कर सकते थे ।

ECB की प्रतिक्रिया यह थी कि उसने यूरो ज़ोन में काम करने वाले अमेरिकी बैंकों से स्वेच्छा से ग्लासविंग के माध्यम से सीखे गए खतरे की खुफिया जानकारी और बचाव के तरीकों को अपने यूरोपीय साथियों के साथ साझा करने के लिए कहा । यह एक असाधारण अनुरोध था — वाणिज्यिक प्रतिस्पर्धियों को स्वैच्छिक सहयोग के माध्यम से एक भू-राजनीतिक पहुंच अंतर को पाटने के लिए कहना।

रुकी हुई बातचीत और नियामकीय कुंठा

पहुंच का अंतर इसलिए बना रहा क्योंकि मई 2026 के अंत तक यूरोपीय संघ (EU) और एंथ्रोपिक के बीच उच्च-स्तरीय वार्ता आधिकारिक तौर पर रुक गई थी। स्पेन के अर्थव्यवस्था मंत्री कार्लोस क्यूरपो ने 22 मई को EU के वित्त प्रमुखों के एक शिखर सम्मेलन से पहले पुष्टि की कि "दुर्भाग्य से, इस क्षेत्र में सीमित प्रगति हुई है" । एंथ्रोपिक और EU अधिकारियों के बीच कई बैठकों के बावजूद, सूत्रों ने बताया कि "यूरोपीय संस्थाओं को क्लॉड मिथोस तक पहुंच देने पर कोई सीधी बातचीत नहीं हुई", जिसने एक रिपोर्ट के अनुसार "महाद्वीप के लिए मजबूत साइबर सुरक्षा भय" को जन्म दिया ।

एंथ्रोपिक का रुख जानबूझकर था। कंपनी ने कहा कि मिथोस की आक्रामक साइबर सुरक्षा क्षमताएं दुरुपयोग को रोकने के लिए सार्वजनिक रिलीज को सीमित करने का औचित्य रखती हैं, और इसने अप्रैल 2026 की शुरुआत में ही यूरोपीय बैंकों को 'जल्द ही' पहुंच देने की योजना का संकेत दिया था। लेकिन मई के अंत तक, कोई ठोस सौदा सामने नहीं आया ।

कुंठा को बढ़ाने वाली नियामकीय वास्तविकता थी। EU AI अधिनियम का अनुच्छेद 92, जो यूरोपीय आयोग को मूल्यांकन के लिए प्रणालीगत-जोखिम वाले AI मॉडलों तक पहुंच प्रदान करता है, अगस्त 2025 से लागू था। हालांकि, अनुच्छेद 101 के तहत जुर्माना लगाने की क्षमता सहित अनिवार्य प्रवर्तन शक्तियां, 2 अगस्त, 2026 तक सक्रिय नहीं होती हैं । इसका मतलब था कि EU का AI कार्यालय पहुंच का अनुरोध तो कर सकता था लेकिन उसके पास ठीक उस अवधि के दौरान, जब खतरा सबसे गंभीर प्रतीत हो रहा था, अनुपालन के लिए बाध्य करने का कोई सख्त कानूनी साधन नहीं था।

एल्डरसन ने परिणामी कठिनाई को सीधे तौर पर व्यक्त किया, यह सुझाव देते हुए कि EU की पहुंच की कमी ने साइबर सुरक्षा की स्थिति को और भी बदतर बना दिया: यूरोपीय बैंक उस उपकरण का उपयोग नहीं कर सकते थे जो उनकी कमजोरियों को प्रकट करता है, जबकि उनके अमेरिकी प्रतिद्वंद्वी सक्रिय रूप से अपनी सुरक्षा को मजबूत कर सकते थे ।

अब आगे क्या होगा

ECB की मई के अंत की चेतावनियां AI क्षमता और वित्तीय स्थिरता जोखिम के प्रतिच्छेदन पर एक निर्णायक क्षण को चिह्नित करती हैं। इसके तत्काल बाद यूरो ज़ोन के बैंक पैच चक्रों को गति देने के लिए हाथ-पैर मारते दिखे, जबकि व्यापक प्रश्न अनसुलझे हैं। क्या एंथ्रोपिक अगस्त में EU के प्रवर्तन शक्तियां हासिल करने से पहले यूरोपीय पहुंच प्रदान करेगा? क्या बैंकों के बीच स्वैच्छिक खुफिया साझाकरण सार्थक रूप से इस अंतर को पाट सकता है? और सबसे मौलिक रूप से, क्या वित्तीय नियामक ढांचा — जो मानव-गति के खतरों के युग के लिए डिज़ाइन किया गया था — एक ऐसी दुनिया के लिए पर्याप्त है जहां AI मॉडल संस्थानों की पैच करने की क्षमता से अधिक तेजी से खामियां ढूंढ और उनका शोषण कर सकते हैं?

फिलहाल के लिए, ECB का निर्देश स्पष्ट है: अभी पैच करें, जो जानते हैं उसे साझा करें, और मान लें कि खतरा सक्रिय है। एल्डरसन के आकलन में, घड़ी की सुइयां पहले ही चल रही हैं।