Pemicunya: Claude Mythos Preview dari Anthropic

Model AI spesifik yang menjadi pusat badai regulasi ini adalah Claude Mythos Preview milik Anthropic . Model ini tidak dirilis untuk publik. Sebaliknya, Anthropic membatasinya pada program mitra terpilih bernama Project Glasswing, yang terdiri dari sekitar 40 perusahaan teknologi dan keuangan "kritis", termasuk bank-bank besar Wall Street, khusus untuk pengujian keamanan siber defensif . Meskipun ada pembatasan ini, kemampuan yang ditunjukkan model tersebut telah memberikan dampak yang mendalam dan langsung pada regulator keuangan global .

Apa yang Membuat Mythos Menjadi Ancaman Baru dan Sistemik

Claude Mythos Preview bukanlah pemindai kerentanan biasa. Ini adalah lompatan besar dalam kemampuan AI ofensif, dengan keterampilan praktis untuk bertindak sebagai operator siber otonom.

Menjalankan serangan multi-tahap secara otonom. Dalam evaluasi terkendali oleh UK AI Security Institute (AISI), Mythos Preview diberi target dan akses jaringan. Model ini mampu menjalankan serangan multi-tahap secara otonom ke jaringan yang rentan, termasuk menemukan dan mengeksploitasi celah keamanan—tugas yang biasanya memakan waktu berhari-hari bagi profesional manusia . Luar biasanya, model ini menjadi model pertama yang memecahkan serangan jaringan perusahaan simulasi 32 langkah dari awal hingga akhir, mencapai kompromi penuh dalam 3 dari 10 percobaan .

Menemukan ribuan kerentanan kritis dengan kecepatan mesin. Pengujian Anthropic sendiri mengungkapkan bahwa model tersebut menemukan "ribuan kerentanan tingkat keparahan tinggi, termasuk beberapa di setiap sistem operasi utama dan peramban web" . Model ini dapat mengidentifikasi dan kemudian mengeksploitasi kerentanan zero-day—celah yang tidak diketahui oleh vendor perangkat lunak dan belum ada tambalannya—sebelum pembela manusia bahkan menyadari keberadaannya . Hal ini secara fundamental memampatkan jendela tradisional antara pengungkapan kerentanan dan eksploitasi di dunia nyata, memberikan tekanan pada bank yang masih mengandalkan sistem TI yang terfragmentasi dan berusia puluhan tahun .

Menimbulkan risiko sistemik bagi seluruh sistem keuangan. Dana Moneter Internasional (IMF) mengeluarkan peringatan dini, dengan menyatakan bahwa risiko siber yang digerakkan AI yang bergerak cepat semacam ini dapat "mengganggu stabilitas sistem keuangan jika tidak dikelola dengan hati-hati," mendesak otoritas untuk melampaui perlakuan terhadap perkembangan ini sebagai masalah teknis atau operasional semata . Kekhawatirannya adalah bahwa Mythos, atau model yang sebanding, dapat dipersenjatai untuk meluncurkan serangan skala besar dan simultan pada infrastruktur keuangan yang saling terhubung, mengubah insiden siber menjadi krisis stabilitas keuangan.

Bagaimana Arahan Mythos Cocok dengan Rencana Induk Pengawasan ECB 2026–2028

Tindakan mendesak pada Mythos bukanlah kepanikan yang terisolasi. Ini adalah serangan penegakan awal yang paling agresif dalam prioritas pengawasan ECB 2026–2028 yang baru saja disederhanakan, yang untuk pertama kalinya dalam lima tahun mempersempit fokus pada dua pilar inti .

Arahan ini berada tepat di bawah Prioritas 2: memperkuat ketahanan operasional bank dan mendorong kemampuan TI yang kuat . Prioritas ini merupakan mandat luas yang mengharapkan bank untuk melakukan hal-hal berikut:

• Mematuhi DORA sepenuhnya, khususnya terkait risiko pihak ketiga TI, pelaporan insiden, dan pengujian ketahanan operasional digital .
• Mengatasi kekurangan manajemen risiko keamanan siber dan pihak ketiga yang diketahui yang telah ditandai dalam tinjauan sebelumnya .
• Mengembangkan strategi digital jangka panjang yang matang dengan tata kelola khusus AI yang kuat, termasuk mengelola risiko seputar kualitas data, kemudahan interpretasi model, risiko konsentrasi dari segelintir penyedia AI non-UE, dan ketergantungan pada vendor .

Pertemuan dan arahan yang digerakkan oleh Mythos ini menandai pergeseran ECB dari "risiko AI sebagai topik teknologi" menjadi "risiko AI sebagai topik pengawasan prudensial," dengan implikasi adanya ekspektasi akan rencana perbaikan yang konkret dan didanai, bukan sekadar proyek percontohan dan prinsip . Pesan yang mendasarinya adalah bahwa dalam siklus tiga tahun ini, kemampuan bank untuk bertahan dan mempertahankan layanan penting melalui gangguan siber berat yang didukung AI bukan lagi sekadar hal teknis yang bagus untuk dimiliki—ini adalah ukuran inti dari keamanan dan kesehatan bank tersebut.

Pemicunya: Claude Mythos Preview dari Anthropic

Model AI spesifik yang menjadi pusat badai regulasi ini adalah Claude Mythos Preview milik Anthropic . Model ini tidak dirilis untuk publik. Sebaliknya, Anthropic membatasinya pada program mitra terpilih bernama Project Glasswing, yang terdiri dari sekitar 40 perusahaan teknologi dan keuangan "kritis", termasuk bank-bank besar Wall Street, khusus untuk pengujian keamanan siber defensif . Meskipun ada pembatasan ini, kemampuan yang ditunjukkan model tersebut telah memberikan dampak yang mendalam dan langsung pada regulator keuangan global .

Apa yang Membuat Mythos Menjadi Ancaman Baru dan Sistemik

Claude Mythos Preview bukanlah pemindai kerentanan biasa. Ini adalah lompatan besar dalam kemampuan AI ofensif, dengan keterampilan praktis untuk bertindak sebagai operator siber otonom.

Menjalankan serangan multi-tahap secara otonom. Dalam evaluasi terkendali oleh UK AI Security Institute (AISI), Mythos Preview diberi target dan akses jaringan. Model ini mampu menjalankan serangan multi-tahap secara otonom ke jaringan yang rentan, termasuk menemukan dan mengeksploitasi celah keamanan—tugas yang biasanya memakan waktu berhari-hari bagi profesional manusia . Luar biasanya, model ini menjadi model pertama yang memecahkan serangan jaringan perusahaan simulasi 32 langkah dari awal hingga akhir, mencapai kompromi penuh dalam 3 dari 10 percobaan .

Menemukan ribuan kerentanan kritis dengan kecepatan mesin. Pengujian Anthropic sendiri mengungkapkan bahwa model tersebut menemukan "ribuan kerentanan tingkat keparahan tinggi, termasuk beberapa di setiap sistem operasi utama dan peramban web" . Model ini dapat mengidentifikasi dan kemudian mengeksploitasi kerentanan zero-day—celah yang tidak diketahui oleh vendor perangkat lunak dan belum ada tambalannya—sebelum pembela manusia bahkan menyadari keberadaannya . Hal ini secara fundamental memampatkan jendela tradisional antara pengungkapan kerentanan dan eksploitasi di dunia nyata, memberikan tekanan pada bank yang masih mengandalkan sistem TI yang terfragmentasi dan berusia puluhan tahun .

Menimbulkan risiko sistemik bagi seluruh sistem keuangan. Dana Moneter Internasional (IMF) mengeluarkan peringatan dini, dengan menyatakan bahwa risiko siber yang digerakkan AI yang bergerak cepat semacam ini dapat "mengganggu stabilitas sistem keuangan jika tidak dikelola dengan hati-hati," mendesak otoritas untuk melampaui perlakuan terhadap perkembangan ini sebagai masalah teknis atau operasional semata . Kekhawatirannya adalah bahwa Mythos, atau model yang sebanding, dapat dipersenjatai untuk meluncurkan serangan skala besar dan simultan pada infrastruktur keuangan yang saling terhubung, mengubah insiden siber menjadi krisis stabilitas keuangan.

Bagaimana Arahan Mythos Cocok dengan Rencana Induk Pengawasan ECB 2026–2028

Tindakan mendesak pada Mythos bukanlah kepanikan yang terisolasi. Ini adalah serangan penegakan awal yang paling agresif dalam prioritas pengawasan ECB 2026–2028 yang baru saja disederhanakan, yang untuk pertama kalinya dalam lima tahun mempersempit fokus pada dua pilar inti .

Arahan ini berada tepat di bawah Prioritas 2: memperkuat ketahanan operasional bank dan mendorong kemampuan TI yang kuat . Prioritas ini merupakan mandat luas yang mengharapkan bank untuk melakukan hal-hal berikut:

• Mematuhi DORA sepenuhnya, khususnya terkait risiko pihak ketiga TI, pelaporan insiden, dan pengujian ketahanan operasional digital .
• Mengatasi kekurangan manajemen risiko keamanan siber dan pihak ketiga yang diketahui yang telah ditandai dalam tinjauan sebelumnya .
• Mengembangkan strategi digital jangka panjang yang matang dengan tata kelola khusus AI yang kuat, termasuk mengelola risiko seputar kualitas data, kemudahan interpretasi model, risiko konsentrasi dari segelintir penyedia AI non-UE, dan ketergantungan pada vendor .

Pertemuan dan arahan yang digerakkan oleh Mythos ini menandai pergeseran ECB dari "risiko AI sebagai topik teknologi" menjadi "risiko AI sebagai topik pengawasan prudensial," dengan implikasi adanya ekspektasi akan rencana perbaikan yang konkret dan didanai, bukan sekadar proyek percontohan dan prinsip . Pesan yang mendasarinya adalah bahwa dalam siklus tiga tahun ini, kemampuan bank untuk bertahan dan mempertahankan layanan penting melalui gangguan siber berat yang didukung AI bukan lagi sekadar hal teknis yang bagus untuk dimiliki—ini adalah ukuran inti dari keamanan dan kesehatan bank tersebut.