引き金となったもの：Anthropic社の「Claude Mythos Preview」

この規制の嵐の中心にあるAIモデルが、Anthropic社の「Claude Mythos Preview」である。このモデルは一般公開されていない。Anthropic社は、Project Glasswingと呼ばれる審査制のパートナープログラムに限定し、ウォール街の主要銀行を含む約40社の「重要」テクノロジー・金融企業のみが、防御的なサイバーセキュリティテスト目的で利用できるようにした。こうした制限にもかかわらず、同モデルの実証された能力は、世界中の金融規制当局に重大かつ即時的な影響を与えている。

ミュートスがもたらす、前例なきシステム全体への脅威

Claude Mythos Previewは、狭義の脆弱性スキャナーではない。それは、自律型サイバーオペレーターとして機能する能力を備えた、攻撃型AIにおけるステップチェンジ（段階的飛躍）を象徴する。

多段階攻撃を自律的に実行。 英国AI安全研究所（AISI）による管理された評価では、ミュートス・プレビューは標的とネットワークアクセスを与えられただけで、脆弱なネットワークへの多段階攻撃を自律的に実行し、セキュリティ上の欠陥を発見・悪用することに成功した。これは人間のプロフェッショナルが数日かかる作業である。驚くべきことに、同モデルは32ステップからなる模擬企業ネットワーク攻撃を最初から最後まで解いた初めてのモデルとなり、10回の試行中3回で完全なシステム侵害に成功した。

機械の速度で数千の重大な脆弱性を発見。 Anthropic社自身のテストでは、同モデルは「すべての主要オペレーティングシステムとウェブブラウザを含む、数千もの高深刻度の脆弱性」を発見した。このモデルは、ソフトウェアベンダーが未知であり、パッチが存在しない「ゼロデイ脆弱性」を、人間の防御側がその存在に気付くよりも前に特定し、悪用することができる。これにより、脆弱性の公開から実際の悪用までの従来の猶予期間は根本的に短縮され、断片的で何十年も前のITシステムに依存する銀行に大きな圧力がかかっている。

金融システム全体にシステミックリスクをもたらす。 国際通貨基金（IMF）は早期警告を発し、この種の高速で動くAI駆動型サイバーリスクは、「注意深く管理されなければ金融システムを不安定化させる可能性がある」と指摘。当局に対し、これらの進展を純粋に技術的または運用上の問題として扱うのではなく、監督と協調を通じて強靭性を構築することに注力するよう促した。懸念されるのは、ミュートスまたは同等のモデルが武器化され、相互接続された金融インフラへの大規模かつ同時多発的な攻撃に利用され、サイバーインシデントが金融安定性の危機に発展する可能性である。

「ミュートス指令」とECBの2026～2028年監督マスタープラン

ミュートスに関する緊急行動は、単独のパニックではない。これは、ECBが新たに合理化した2026～2028年の監督優先事項における、最も積極的な初期執行措置である。この枠組みは、5年ぶりに焦点を2つの中核的な柱に絞り込んでいる。

この指令は、優先事項2：銀行の業務強靭性の強化と堅牢なICT能力の育成の直下に位置づけられる。この優先事項は、銀行に対し以下のことを期待する幅広い命令である。

• DORAに完全準拠すること、特にICTサードパーティリスク、インシデント報告、デジタル運用強靭性テストに関して。
• 過去のレビューで指摘された既知のサイバーセキュリティおよびサードパーティリスク管理の不備に対処すること。
• 成熟した長期的デジタル戦略を策定し、AI固有のガバナンスを強化すること。これには、データ品質、モデルの説明可能性、少数の非EU AIプロバイダーへの集中リスク、ベンダーロックインなどのリスク管理が含まれる。

ミュートスが引き金となった会合と指令は、ECBが「AIリスクを技術トピック」から「AIリスクを健全性監督トピック」へと移行させたことを意味する。そこには、試行錯誤や原則ではなく、具体的で資金調達された是正計画が暗黙のうちに期待されている。根底にあるメッセージは、この3年間のサイクルの中で、深刻なAIによるサイバー障害を乗り越え、重要なサービスを維持できるかどうかは、もはや技術的な付加物ではなく、銀行の健全性と安全性を測る中核的な尺度であるということだ。

引き金となったもの：Anthropic社の「Claude Mythos Preview」

この規制の嵐の中心にあるAIモデルが、Anthropic社の「Claude Mythos Preview」である。このモデルは一般公開されていない。Anthropic社は、Project Glasswingと呼ばれる審査制のパートナープログラムに限定し、ウォール街の主要銀行を含む約40社の「重要」テクノロジー・金融企業のみが、防御的なサイバーセキュリティテスト目的で利用できるようにした。こうした制限にもかかわらず、同モデルの実証された能力は、世界中の金融規制当局に重大かつ即時的な影響を与えている。

ミュートスがもたらす、前例なきシステム全体への脅威

Claude Mythos Previewは、狭義の脆弱性スキャナーではない。それは、自律型サイバーオペレーターとして機能する能力を備えた、攻撃型AIにおけるステップチェンジ（段階的飛躍）を象徴する。

多段階攻撃を自律的に実行。 英国AI安全研究所（AISI）による管理された評価では、ミュートス・プレビューは標的とネットワークアクセスを与えられただけで、脆弱なネットワークへの多段階攻撃を自律的に実行し、セキュリティ上の欠陥を発見・悪用することに成功した。これは人間のプロフェッショナルが数日かかる作業である。驚くべきことに、同モデルは32ステップからなる模擬企業ネットワーク攻撃を最初から最後まで解いた初めてのモデルとなり、10回の試行中3回で完全なシステム侵害に成功した。

機械の速度で数千の重大な脆弱性を発見。 Anthropic社自身のテストでは、同モデルは「すべての主要オペレーティングシステムとウェブブラウザを含む、数千もの高深刻度の脆弱性」を発見した。このモデルは、ソフトウェアベンダーが未知であり、パッチが存在しない「ゼロデイ脆弱性」を、人間の防御側がその存在に気付くよりも前に特定し、悪用することができる。これにより、脆弱性の公開から実際の悪用までの従来の猶予期間は根本的に短縮され、断片的で何十年も前のITシステムに依存する銀行に大きな圧力がかかっている。

金融システム全体にシステミックリスクをもたらす。 国際通貨基金（IMF）は早期警告を発し、この種の高速で動くAI駆動型サイバーリスクは、「注意深く管理されなければ金融システムを不安定化させる可能性がある」と指摘。当局に対し、これらの進展を純粋に技術的または運用上の問題として扱うのではなく、監督と協調を通じて強靭性を構築することに注力するよう促した。懸念されるのは、ミュートスまたは同等のモデルが武器化され、相互接続された金融インフラへの大規模かつ同時多発的な攻撃に利用され、サイバーインシデントが金融安定性の危機に発展する可能性である。

「ミュートス指令」とECBの2026～2028年監督マスタープラン

ミュートスに関する緊急行動は、単独のパニックではない。これは、ECBが新たに合理化した2026～2028年の監督優先事項における、最も積極的な初期執行措置である。この枠組みは、5年ぶりに焦点を2つの中核的な柱に絞り込んでいる。

この指令は、優先事項2：銀行の業務強靭性の強化と堅牢なICT能力の育成の直下に位置づけられる。この優先事項は、銀行に対し以下のことを期待する幅広い命令である。

• DORAに完全準拠すること、特にICTサードパーティリスク、インシデント報告、デジタル運用強靭性テストに関して。
• 過去のレビューで指摘された既知のサイバーセキュリティおよびサードパーティリスク管理の不備に対処すること。
• 成熟した長期的デジタル戦略を策定し、AI固有のガバナンスを強化すること。これには、データ品質、モデルの説明可能性、少数の非EU AIプロバイダーへの集中リスク、ベンダーロックインなどのリスク管理が含まれる。

ミュートスが引き金となった会合と指令は、ECBが「AIリスクを技術トピック」から「AIリスクを健全性監督トピック」へと移行させたことを意味する。そこには、試行錯誤や原則ではなく、具体的で資金調達された是正計画が暗黙のうちに期待されている。根底にあるメッセージは、この3年間のサイクルの中で、深刻なAIによるサイバー障害を乗り越え、重要なサービスを維持できるかどうかは、もはや技術的な付加物ではなく、銀行の健全性と安全性を測る中核的な尺度であるということだ。