Claude Mythos Preview menjadi pencetus kebimbangan

Model yang menjadi tumpuan ialah Claude Mythos Preview, keluaran Anthropic . Ia tidak dilancarkan kepada orang ramai. Sebaliknya, Anthropic mengehadkan akses kepada program rakan kongsi yang disaring, dikenali sebagai Project Glasswing, yang melibatkan kira-kira 40 syarikat teknologi dan kewangan “kritikal” untuk ujian keselamatan siber secara defensif .

Namun, keupayaan yang ditunjukkan dalam ujian model itu sudah cukup untuk menarik perhatian pengawal selia kewangan di seluruh dunia .

Mengapa Mythos dilihat sebagai ancaman baharu?

Claude Mythos Preview bukan sekadar alat pengimbas kelemahan. Dalam keadaan tertentu, ia berupaya melaksanakan beberapa langkah serangan siber dengan tahap autonomi yang sebelum ini memerlukan kepakaran manusia dan masa yang panjang.

Mampu menjalankan serangan berbilang peringkat secara autonomi. Dalam penilaian terkawal oleh UK AI Security Institute (AISI), Mythos Preview diberikan sasaran serta akses rangkaian. Model itu berjaya mencari dan mengeksploitasi kelemahan pada rangkaian yang terdedah secara autonomi—tugas yang menurut AISI boleh mengambil masa berhari-hari untuk diselesaikan oleh pakar manusia .

Ia juga menjadi model pertama yang berjaya menyelesaikan simulasi serangan rangkaian korporat 32 langkah dari awal hingga akhir, dengan kompromi penuh dicapai dalam tiga daripada 10 percubaan .

Mengesan ribuan kelemahan pada kelajuan mesin. Ujian Anthropic mendapati model berkenaan menemukan “ribuan kelemahan berisiko tinggi, termasuk dalam setiap sistem pengendalian utama dan pelayar web utama” . Anthropic turut menyatakan bahawa apabila diarahkan oleh pengguna, Mythos boleh mengenal pasti dan mengeksploitasi kelemahan zero-day pada setiap sistem pengendalian dan pelayar web utama yang diuji .

Kelemahan zero-day ialah kecacatan yang belum diketahui oleh pembekal perisian dan biasanya belum mempunyai tampalan. Keupayaan sebegini boleh mengecilkan jurang masa antara kelemahan ditemui, didedahkan dan dieksploitasi di dunia sebenar—cabaran besar bagi bank yang masih mengendalikan sistem IT yang berpecah-pecah dan sebahagiannya berusia puluhan tahun .

Berpotensi menimbulkan risiko sistemik. Tabung Kewangan Antarabangsa (IMF) memberi amaran bahawa risiko siber yang bergerak pantas dan dipacu AI boleh “menggugat kestabilan sistem kewangan jika tidak diurus dengan teliti” .

Kebimbangan utamanya bukan hanya serangan terhadap sebuah bank. Model seperti Mythos boleh, secara teori, disalah guna untuk melancarkan serangan besar-besaran dan serentak terhadap infrastruktur kewangan yang saling berkait. Dalam senario sedemikian, insiden siber boleh berkembang menjadi isu kestabilan kewangan.

Apa kaitannya dengan keutamaan ECB 2026–2028?

Tindakan terhadap risiko Mythos bukanlah langkah yang terasing. Ia selari dengan rangka kerja penyeliaan ECB bagi 2026–2028, yang mengecilkan tumpuan kepada dua keutamaan utama buat kali pertama dalam tempoh lima tahun .

Arahan berhubung keselamatan siber AI itu berada di bawah Keutamaan 2: memperkukuh daya tahan operasi bank dan membina keupayaan ICT yang kukuh . Dalam amalan, bank dijangka:

• Mematuhi sepenuhnya Akta Daya Tahan Operasi Digital (DORA), termasuk keperluan berkaitan risiko penyedia ICT pihak ketiga, pelaporan insiden dan ujian daya tahan operasi digital .
• Membaiki kelemahan keselamatan siber dan pengurusan risiko pihak ketiga yang telah dikenal pasti dalam semakan terdahulu .
• Membangunkan strategi digital jangka panjang yang lebih matang, termasuk kawalan kualiti data, kebolehjelasan hasil AI, tadbir urus model sepanjang kitar hayatnya serta akauntabiliti terhadap keputusan yang dipacu AI .
• Mengurus kebergantungan kepada penyedia AI luar, termasuk risiko tumpuan, kerahsiaan data, keselamatan, vendor lock-in dan kesukaran untuk berpindah kepada penyedia lain .

Daripada isu teknologi kepada isu penyeliaan kewangan

Perubahan paling ketara ialah cara ECB membingkaikan ancaman ini. Risiko AI tidak lagi dilihat sebagai topik teknologi yang terhad kepada pasukan IT. Ia kini dianggap sebagai risiko berhemat—iaitu risiko yang boleh menjejaskan keselamatan, kecukupan dan kesinambungan operasi bank.

Justeru, bank tidak hanya dijangka menghasilkan projek percubaan atau garis panduan umum. Mereka perlu menyediakan pelan pembaikan yang nyata, dibiayai dan boleh dilaksanakan .

Mesej ECB untuk kitaran 2026–2028 amat jelas: keupayaan bank untuk terus menyediakan perkhidmatan kritikal ketika berdepan gangguan siber serius yang dibantu AI kini menjadi ukuran utama daya tahan institusi, bukan lagi ciri tambahan teknikal.

Claude Mythos Preview menjadi pencetus kebimbangan

Model yang menjadi tumpuan ialah Claude Mythos Preview, keluaran Anthropic . Ia tidak dilancarkan kepada orang ramai. Sebaliknya, Anthropic mengehadkan akses kepada program rakan kongsi yang disaring, dikenali sebagai Project Glasswing, yang melibatkan kira-kira 40 syarikat teknologi dan kewangan “kritikal” untuk ujian keselamatan siber secara defensif .

Namun, keupayaan yang ditunjukkan dalam ujian model itu sudah cukup untuk menarik perhatian pengawal selia kewangan di seluruh dunia .

Mengapa Mythos dilihat sebagai ancaman baharu?

Claude Mythos Preview bukan sekadar alat pengimbas kelemahan. Dalam keadaan tertentu, ia berupaya melaksanakan beberapa langkah serangan siber dengan tahap autonomi yang sebelum ini memerlukan kepakaran manusia dan masa yang panjang.

Mampu menjalankan serangan berbilang peringkat secara autonomi. Dalam penilaian terkawal oleh UK AI Security Institute (AISI), Mythos Preview diberikan sasaran serta akses rangkaian. Model itu berjaya mencari dan mengeksploitasi kelemahan pada rangkaian yang terdedah secara autonomi—tugas yang menurut AISI boleh mengambil masa berhari-hari untuk diselesaikan oleh pakar manusia .

Ia juga menjadi model pertama yang berjaya menyelesaikan simulasi serangan rangkaian korporat 32 langkah dari awal hingga akhir, dengan kompromi penuh dicapai dalam tiga daripada 10 percubaan .

Mengesan ribuan kelemahan pada kelajuan mesin. Ujian Anthropic mendapati model berkenaan menemukan “ribuan kelemahan berisiko tinggi, termasuk dalam setiap sistem pengendalian utama dan pelayar web utama” . Anthropic turut menyatakan bahawa apabila diarahkan oleh pengguna, Mythos boleh mengenal pasti dan mengeksploitasi kelemahan zero-day pada setiap sistem pengendalian dan pelayar web utama yang diuji .

Kelemahan zero-day ialah kecacatan yang belum diketahui oleh pembekal perisian dan biasanya belum mempunyai tampalan. Keupayaan sebegini boleh mengecilkan jurang masa antara kelemahan ditemui, didedahkan dan dieksploitasi di dunia sebenar—cabaran besar bagi bank yang masih mengendalikan sistem IT yang berpecah-pecah dan sebahagiannya berusia puluhan tahun .

Berpotensi menimbulkan risiko sistemik. Tabung Kewangan Antarabangsa (IMF) memberi amaran bahawa risiko siber yang bergerak pantas dan dipacu AI boleh “menggugat kestabilan sistem kewangan jika tidak diurus dengan teliti” .

Kebimbangan utamanya bukan hanya serangan terhadap sebuah bank. Model seperti Mythos boleh, secara teori, disalah guna untuk melancarkan serangan besar-besaran dan serentak terhadap infrastruktur kewangan yang saling berkait. Dalam senario sedemikian, insiden siber boleh berkembang menjadi isu kestabilan kewangan.

Apa kaitannya dengan keutamaan ECB 2026–2028?

Tindakan terhadap risiko Mythos bukanlah langkah yang terasing. Ia selari dengan rangka kerja penyeliaan ECB bagi 2026–2028, yang mengecilkan tumpuan kepada dua keutamaan utama buat kali pertama dalam tempoh lima tahun .

Arahan berhubung keselamatan siber AI itu berada di bawah Keutamaan 2: memperkukuh daya tahan operasi bank dan membina keupayaan ICT yang kukuh . Dalam amalan, bank dijangka:

• Mematuhi sepenuhnya Akta Daya Tahan Operasi Digital (DORA), termasuk keperluan berkaitan risiko penyedia ICT pihak ketiga, pelaporan insiden dan ujian daya tahan operasi digital .
• Membaiki kelemahan keselamatan siber dan pengurusan risiko pihak ketiga yang telah dikenal pasti dalam semakan terdahulu .
• Membangunkan strategi digital jangka panjang yang lebih matang, termasuk kawalan kualiti data, kebolehjelasan hasil AI, tadbir urus model sepanjang kitar hayatnya serta akauntabiliti terhadap keputusan yang dipacu AI .
• Mengurus kebergantungan kepada penyedia AI luar, termasuk risiko tumpuan, kerahsiaan data, keselamatan, vendor lock-in dan kesukaran untuk berpindah kepada penyedia lain .

Daripada isu teknologi kepada isu penyeliaan kewangan

Perubahan paling ketara ialah cara ECB membingkaikan ancaman ini. Risiko AI tidak lagi dilihat sebagai topik teknologi yang terhad kepada pasukan IT. Ia kini dianggap sebagai risiko berhemat—iaitu risiko yang boleh menjejaskan keselamatan, kecukupan dan kesinambungan operasi bank.

Justeru, bank tidak hanya dijangka menghasilkan projek percubaan atau garis panduan umum. Mereka perlu menyediakan pelan pembaikan yang nyata, dibiayai dan boleh dilaksanakan .

Mesej ECB untuk kitaran 2026–2028 amat jelas: keupayaan bank untuk terus menyediakan perkhidmatan kritikal ketika berdepan gangguan siber serius yang dibantu AI kini menjadi ukuran utama daya tahan institusi, bukan lagi ciri tambahan teknikal.