Il Catalizzatore: Claude Mythos Preview di Anthropic

Il modello AI specifico al centro di questa tempesta normativa è Claude Mythos Preview di Anthropic . Il modello non è stato rilasciato al pubblico. Anthropic lo ha invece limitato a un programma di partner selezionati chiamato Project Glasswing, che comprende circa 40 aziende "critiche" nel settore tecnologico e finanziario, inclusi importanti banche di Wall Street, esclusivamente per test di cybersicurezza difensiva . Nonostante queste restrizioni, le capacità dimostrate dal modello hanno avuto un impatto profondo e immediato sui regolatori finanziari globali .

Cosa Rende Mythos una Minaccia Nuova e Sistemica

Claude Mythos Preview non è uno scanner di vulnerabilità tradizionale. Rappresenta un salto di qualità nelle capacità offensive dell'AI, con le competenze pratiche per agire come un operatore informatico autonomo.

Esegue autonomamente attacchi a più stadi. In valutazioni controllate dall'UK AI Security Institute (AISI), a Mythos Preview sono stati dati un obiettivo e l'accesso alla rete. È stato in grado di eseguire autonomamente attacchi a più stadi su reti vulnerabili, inclusa la scoperta e lo sfruttamento di falle di sicurezza, compiti che richiederebbero giorni di lavoro a professionisti umani . Incredibilmente, è diventato il primo modello a risolvere un attacco simulato a una rete aziendale di 32 passi dall'inizio alla fine, raggiungendo un compromesso completo in 3 tentativi su 10 .

Trova migliaia di vulnerabilità critiche a velocità macchina. I test interni di Anthropic hanno rivelato che il modello ha trovato "migliaia di vulnerabilità ad alta severità, inclusa qualcuna in ogni sistema operativo e browser web principale" . Il modello può identificare e poi sfruttare vulnerabilità zero-day, falle sconosciute al produttore del software e per le quali non esiste ancora una patch, prima ancora che i difensori umani ne siano a conoscenza . Questo collassa fondamentalmente la finestra tradizionale tra la divulgazione di una vulnerabilità e il suo sfruttamento reale, mettendo sotto pressione le banche che si affidano a sistemi IT frammentati e vecchi di decenni .

Rappresenta un rischio sistemico per l'intero sistema finanziario. Il Fondo Monetario Internazionale (FMI) ha emesso un avvertimento precoce, affermando che rischi informatici guidati dall'AI, rapidi e di questo tipo, potrebbero "destabilizzare il sistema finanziario se non gestiti con attenzione", esortando le autorità a superare la considerazione di questi sviluppi come questioni puramente tecniche o operative . La preoccupazione è che Mythos, o un modello comparabile, possa essere armato per lanciare attacchi su larga scala e simultanei contro l'infrastruttura finanziaria interconnessa, trasformando un incidente informatico in una crisi di stabilità finanziaria.

Come la Direttiva Mythos si Inserisce nel Piano Strategico di Vigilanza 2026–2028 della BCE

L'azione urgente su Mythos non è un panico isolato. È il primo colpo di enforcements più aggressivo all'interno delle nuove priorità di vigilanza 2026-2028 della BCE, che per la prima volta in cinque anni restringono il focus a due pilastri fondamentali .

La direttiva si inserisce perfettamente nella Priorità 2: rafforzare la resilienza operativa delle banche e promuovere solide capacità ICT . Questa priorità è un mandato ampio che si aspetta che le banche facciano quanto segue:

• Rispettare pienamente il DORA, in particolare per quanto riguarda il rischio di terze parti ICT, la segnalazione degli incidenti e i test di resilienza operativa digitale .
• Affrontare le carenze note nella gestione del rischio informatico e di terze parti che sono state segnalate nelle revisioni passate .
• Sviluppare una strategia digitale matura e a lungo termine con una solida governance specifica per l'AI, inclusa la gestione dei rischi relativi alla qualità dei dati, alla spiegabilità dei modelli, al rischio di concentrazione derivante da una manciata di fornitori di AI extra-UE e al vendor lock-in .

L'incontro e la direttiva guidati da Mythos rappresentano il passaggio della BCE dal "rischio AI come argomento tecnologico" al "rischio AI come argomento di supervisione prudenziale", con l'aspettativa implicita di piani di risanamento concreti e finanziati, non di progetti pilota e principi . Il messaggio di fondo è che, in questo ciclo triennale, la capacità di una banca di sopravvivere e mantenere i servizi critici attraverso una grave interruzione informatica abilitata dall'AI non è più un optional tecnico: è una misura fondamentale della sua solidità e stabilità.

Il Catalizzatore: Claude Mythos Preview di Anthropic

Il modello AI specifico al centro di questa tempesta normativa è Claude Mythos Preview di Anthropic . Il modello non è stato rilasciato al pubblico. Anthropic lo ha invece limitato a un programma di partner selezionati chiamato Project Glasswing, che comprende circa 40 aziende "critiche" nel settore tecnologico e finanziario, inclusi importanti banche di Wall Street, esclusivamente per test di cybersicurezza difensiva . Nonostante queste restrizioni, le capacità dimostrate dal modello hanno avuto un impatto profondo e immediato sui regolatori finanziari globali .

Cosa Rende Mythos una Minaccia Nuova e Sistemica

Claude Mythos Preview non è uno scanner di vulnerabilità tradizionale. Rappresenta un salto di qualità nelle capacità offensive dell'AI, con le competenze pratiche per agire come un operatore informatico autonomo.

Esegue autonomamente attacchi a più stadi. In valutazioni controllate dall'UK AI Security Institute (AISI), a Mythos Preview sono stati dati un obiettivo e l'accesso alla rete. È stato in grado di eseguire autonomamente attacchi a più stadi su reti vulnerabili, inclusa la scoperta e lo sfruttamento di falle di sicurezza, compiti che richiederebbero giorni di lavoro a professionisti umani . Incredibilmente, è diventato il primo modello a risolvere un attacco simulato a una rete aziendale di 32 passi dall'inizio alla fine, raggiungendo un compromesso completo in 3 tentativi su 10 .

Trova migliaia di vulnerabilità critiche a velocità macchina. I test interni di Anthropic hanno rivelato che il modello ha trovato "migliaia di vulnerabilità ad alta severità, inclusa qualcuna in ogni sistema operativo e browser web principale" . Il modello può identificare e poi sfruttare vulnerabilità zero-day, falle sconosciute al produttore del software e per le quali non esiste ancora una patch, prima ancora che i difensori umani ne siano a conoscenza . Questo collassa fondamentalmente la finestra tradizionale tra la divulgazione di una vulnerabilità e il suo sfruttamento reale, mettendo sotto pressione le banche che si affidano a sistemi IT frammentati e vecchi di decenni .

Rappresenta un rischio sistemico per l'intero sistema finanziario. Il Fondo Monetario Internazionale (FMI) ha emesso un avvertimento precoce, affermando che rischi informatici guidati dall'AI, rapidi e di questo tipo, potrebbero "destabilizzare il sistema finanziario se non gestiti con attenzione", esortando le autorità a superare la considerazione di questi sviluppi come questioni puramente tecniche o operative . La preoccupazione è che Mythos, o un modello comparabile, possa essere armato per lanciare attacchi su larga scala e simultanei contro l'infrastruttura finanziaria interconnessa, trasformando un incidente informatico in una crisi di stabilità finanziaria.

Come la Direttiva Mythos si Inserisce nel Piano Strategico di Vigilanza 2026–2028 della BCE

L'azione urgente su Mythos non è un panico isolato. È il primo colpo di enforcements più aggressivo all'interno delle nuove priorità di vigilanza 2026-2028 della BCE, che per la prima volta in cinque anni restringono il focus a due pilastri fondamentali .

La direttiva si inserisce perfettamente nella Priorità 2: rafforzare la resilienza operativa delle banche e promuovere solide capacità ICT . Questa priorità è un mandato ampio che si aspetta che le banche facciano quanto segue:

• Rispettare pienamente il DORA, in particolare per quanto riguarda il rischio di terze parti ICT, la segnalazione degli incidenti e i test di resilienza operativa digitale .
• Affrontare le carenze note nella gestione del rischio informatico e di terze parti che sono state segnalate nelle revisioni passate .
• Sviluppare una strategia digitale matura e a lungo termine con una solida governance specifica per l'AI, inclusa la gestione dei rischi relativi alla qualità dei dati, alla spiegabilità dei modelli, al rischio di concentrazione derivante da una manciata di fornitori di AI extra-UE e al vendor lock-in .

L'incontro e la direttiva guidati da Mythos rappresentano il passaggio della BCE dal "rischio AI come argomento tecnologico" al "rischio AI come argomento di supervisione prudenziale", con l'aspettativa implicita di piani di risanamento concreti e finanziati, non di progetti pilota e principi . Il messaggio di fondo è che, in questo ciclo triennale, la capacità di una banca di sopravvivere e mantenere i servizi critici attraverso una grave interruzione informatica abilitata dall'AI non è più un optional tecnico: è una misura fondamentale della sua solidità e stabilità.