De Vonk: Anthropic's Claude Mythos Preview

Het specifieke AI-model dat deze toezichtsstorm heeft veroorzaakt, is Anthropic's Claude Mythos Preview . Het model is niet voor het publiek vrijgegeven. Anthropic beperkte de toegang tot een select partnerprogramma genaamd Project Glasswing, bestaande uit ongeveer 40 'kritieke' technologie- en financiële bedrijven, waaronder grote Amerikaanse banken, uitsluitend voor defensieve cybersecuritytesten . Ondanks deze beperkingen hebben de aangetoonde capaciteiten van het model een directe en verstrekkende impact gehad op mondiale financiële toezichthouders .

Wat Maakt Mythos Een Nieuwe En Systemische Dreiging

Claude Mythos Preview is geen beperkte kwetsbaarhedenscanner. Het vertegenwoordigt een grote sprong voorwaarts in offensieve AI-capaciteit, met praktische vaardigheden die het in staat stellen te functioneren als een autonome cyberoperator.

Voert zelfstandig meervoudige aanvallen uit. In gecontroleerde evaluaties door het UK AI Security Institute (AISI) kreeg Mythos Preview een doelwit en netwerktoegang. Het bleek in staat om zelfstandig meervoudige aanvallen uit te voeren op kwetsbare netwerken, inclusief het ontdekken en misbruiken van beveiligingslekken – taken waar menselijke professionals dagen voor nodig hebben . Opvallend was dat het het eerste model werd dat een gesimuleerde aanval op een bedrijfsnetwerk in 32 stappen volledig wist uit te voeren, met een volledige overname in 3 van de 10 pogingen .

Vindt duizenden kritieke kwetsbaarheden op machinesnelheid. Uit eigen tests van Anthropic bleek dat het model "duizenden zeer ernstige kwetsbaarheden vond, waaronder in elk belangrijk besturingssysteem en iedere gangbare webbrowser" . Het model kan zogenaamde zero-day-kwetsbaarheden identificeren en vervolgens misbruiken – dit zijn fouten die nog niet bekend zijn bij de softwareleverancier en waarvoor nog geen patch bestaat. Dit gebeurt voordat menselijke verdedigers zich bewust zijn van het bestaan ervan . Dit verkort de traditionele tijd tussen de ontdekking van een kwetsbaarheid en daadwerkelijke misbruik drastisch, wat een enorme druk legt op banken die vaak nog gebruikmaken van gefragmenteerde, soms tientallen jaren oude IT-systemen .

Vormt een systeemrisico voor het gehele financiële stelsel. Het Internationaal Monetair Fonds (IMF) gaf een vroegtijdige waarschuwing af. Het stelde dat dit soort snel bewegende, AI-gedreven cyberrisico's "het financiële systeem kunnen destabiliseren als ze niet zorgvuldig worden beheerd". Het IMF drong er bij autoriteiten op aan om deze ontwikkelingen niet langer te behandelen als puur technische of operationele kwesties . De zorg is dat Mythos, of een vergelijkbaar model, kan worden ingezet voor grootschalige, gelijktijdige aanvallen op de onderling verbonden financiële infrastructuur, waardoor een cyberincident kan uitgroeien tot een crisis voor de financiële stabiliteit.

Hoe De Mythos-Richtlijn Past In Het ECB-Toezichtplan 2026–2028

De dringende actie rond Mythos is geen geïsoleerde paniekreactie. Het is de meest agressieve handhavingsactie binnen het nieuw gestroomlijnde toezichtplan 2026–2028 van de ECB, dat voor het eerst in vijf jaren de focus versmalt naar twee kernpijlers .

De richtlijn valt direct onder Prioriteit 2: het versterken van de operationele weerbaarheid van banken en het bevorderen van robuuste ICT-capaciteiten . Dit is een brede opdracht die van banken verwacht dat zij:

• Volledig voldoen aan DORA, specifiek wat betreft ICT-risico's van derde partijen, incidentenrapportage en tests van digitale operationele weerbaarheid .
• Bekende tekortkomingen op het gebied van cybersecurity en risicobeheer van derde partijen aanpakken die in eerdere beoordelingen zijn gesignaleerd .
• Een volwassen, langetermijn digitale strategie ontwikkelen met robuust AI-specifiek bestuur, inclusief het beheersen van risico's rondom datakwaliteit, uitlegbaarheid van modellen, concentratierisico van een handvol niet-EU AI-leveranciers en vendor lock-in .

Het door Mythos gedreven overleg en de richtlijn betekenen dat de ECB is verschoven van "AI-risico als een tech-onderwerp" naar "AI-risico als een prudentieel toezichtsonderwerp", met een impliciete verwachting van concrete, gefinancierde herstelplannen, en niet langer alleen pilots en principes . De onderliggende boodschap is dat binnen deze driejarige cyclus het vermogen van een bank om kritieke diensten te blijven verlenen tijdens een ernstige, AI-gestuurde cyberverstoring niet langer een technische luxe is, maar een kernmaatstaf voor haar veiligheid en soliditeit.

De Vonk: Anthropic's Claude Mythos Preview

Het specifieke AI-model dat deze toezichtsstorm heeft veroorzaakt, is Anthropic's Claude Mythos Preview . Het model is niet voor het publiek vrijgegeven. Anthropic beperkte de toegang tot een select partnerprogramma genaamd Project Glasswing, bestaande uit ongeveer 40 'kritieke' technologie- en financiële bedrijven, waaronder grote Amerikaanse banken, uitsluitend voor defensieve cybersecuritytesten . Ondanks deze beperkingen hebben de aangetoonde capaciteiten van het model een directe en verstrekkende impact gehad op mondiale financiële toezichthouders .

Wat Maakt Mythos Een Nieuwe En Systemische Dreiging

Claude Mythos Preview is geen beperkte kwetsbaarhedenscanner. Het vertegenwoordigt een grote sprong voorwaarts in offensieve AI-capaciteit, met praktische vaardigheden die het in staat stellen te functioneren als een autonome cyberoperator.

Voert zelfstandig meervoudige aanvallen uit. In gecontroleerde evaluaties door het UK AI Security Institute (AISI) kreeg Mythos Preview een doelwit en netwerktoegang. Het bleek in staat om zelfstandig meervoudige aanvallen uit te voeren op kwetsbare netwerken, inclusief het ontdekken en misbruiken van beveiligingslekken – taken waar menselijke professionals dagen voor nodig hebben . Opvallend was dat het het eerste model werd dat een gesimuleerde aanval op een bedrijfsnetwerk in 32 stappen volledig wist uit te voeren, met een volledige overname in 3 van de 10 pogingen .

Vindt duizenden kritieke kwetsbaarheden op machinesnelheid. Uit eigen tests van Anthropic bleek dat het model "duizenden zeer ernstige kwetsbaarheden vond, waaronder in elk belangrijk besturingssysteem en iedere gangbare webbrowser" . Het model kan zogenaamde zero-day-kwetsbaarheden identificeren en vervolgens misbruiken – dit zijn fouten die nog niet bekend zijn bij de softwareleverancier en waarvoor nog geen patch bestaat. Dit gebeurt voordat menselijke verdedigers zich bewust zijn van het bestaan ervan . Dit verkort de traditionele tijd tussen de ontdekking van een kwetsbaarheid en daadwerkelijke misbruik drastisch, wat een enorme druk legt op banken die vaak nog gebruikmaken van gefragmenteerde, soms tientallen jaren oude IT-systemen .

Vormt een systeemrisico voor het gehele financiële stelsel. Het Internationaal Monetair Fonds (IMF) gaf een vroegtijdige waarschuwing af. Het stelde dat dit soort snel bewegende, AI-gedreven cyberrisico's "het financiële systeem kunnen destabiliseren als ze niet zorgvuldig worden beheerd". Het IMF drong er bij autoriteiten op aan om deze ontwikkelingen niet langer te behandelen als puur technische of operationele kwesties . De zorg is dat Mythos, of een vergelijkbaar model, kan worden ingezet voor grootschalige, gelijktijdige aanvallen op de onderling verbonden financiële infrastructuur, waardoor een cyberincident kan uitgroeien tot een crisis voor de financiële stabiliteit.

Hoe De Mythos-Richtlijn Past In Het ECB-Toezichtplan 2026–2028

De dringende actie rond Mythos is geen geïsoleerde paniekreactie. Het is de meest agressieve handhavingsactie binnen het nieuw gestroomlijnde toezichtplan 2026–2028 van de ECB, dat voor het eerst in vijf jaren de focus versmalt naar twee kernpijlers .

De richtlijn valt direct onder Prioriteit 2: het versterken van de operationele weerbaarheid van banken en het bevorderen van robuuste ICT-capaciteiten . Dit is een brede opdracht die van banken verwacht dat zij:

• Volledig voldoen aan DORA, specifiek wat betreft ICT-risico's van derde partijen, incidentenrapportage en tests van digitale operationele weerbaarheid .
• Bekende tekortkomingen op het gebied van cybersecurity en risicobeheer van derde partijen aanpakken die in eerdere beoordelingen zijn gesignaleerd .
• Een volwassen, langetermijn digitale strategie ontwikkelen met robuust AI-specifiek bestuur, inclusief het beheersen van risico's rondom datakwaliteit, uitlegbaarheid van modellen, concentratierisico van een handvol niet-EU AI-leveranciers en vendor lock-in .

Het door Mythos gedreven overleg en de richtlijn betekenen dat de ECB is verschoven van "AI-risico als een tech-onderwerp" naar "AI-risico als een prudentieel toezichtsonderwerp", met een impliciete verwachting van concrete, gefinancierde herstelplannen, en niet langer alleen pilots en principes . De onderliggende boodschap is dat binnen deze driejarige cyclus het vermogen van een bank om kritieke diensten te blijven verlenen tijdens een ernstige, AI-gestuurde cyberverstoring niet langer een technische luxe is, maar een kernmaatstaf voor haar veiligheid en soliditeit.