Dette var mer enn et generelt teknologiråd. Frank Elderson, ECBs visesentralbanksjef med ansvar for banktilsyn, gjorde tidligere, mer uformell veiledning til en offentlig tilsynsprioritet. Budskapet var at bankene må legge til grunn at angripere kan få tilgang til AI-verktøy med tilsvarende kapasitet. At europeiske banker ikke nødvendigvis har direkte tilgang til Mythos, er ifølge Elderson «ingen unnskyldning for å la være å handle» .

I praksis betyr forventningen raskere sikkerhetsoppdateringer, sterkere beredskaps- og motstandsplaner og full etterlevelse av EUs Digital Operational Resilience Act, DORA . DORA er regelverket som stiller krav til bankenes digitale motstandskraft, blant annet håndtering av IT-leverandører, rapportering av hendelser og testing av evnen til å holde kritiske tjenester i gang.

Modellen som satte fart på bekymringen

Claude Mythos Preview er ikke lansert fritt til offentligheten. Anthropic har i stedet gjort modellen tilgjengelig for et kontrollert partnerprogram kalt Project Glasswing, med rundt 40 utvalgte teknologi- og finansselskaper. Tilgangen skal brukes til defensiv testing av cybersikkerhet .

Likevel har resultatene fra testingen fått stor betydning for tilsynsmyndigheter. Det skyldes at Mythos ikke bare fungerer som en tradisjonell skanner som peker ut mulige svakheter. Modellen har demonstrert evner som ligner på en mer selvstendig cyberoperatør.

Derfor regnes Mythos som en ny type banktrussel

Kan gjennomføre flertrinnsangrep på egen hånd. I kontrollerte tester fra UK AI Security Institute (AISI) fikk Mythos tilgang til et nettverk og et definert mål. Modellen kunne selv oppdage og utnytte sårbarheter i et sårbart nettverk – oppgaver som normalt ville krevd flere dager med arbeid fra erfarne fagfolk .

Den løste også for første gang en simulert, 32 trinn lang angrepstest mot et bedriftsnettverk fra start til slutt. Det skjedde i tre av ti forsøk, mens modellen i gjennomsnitt fullførte 22 av 32 trinn i alle forsøkene .

Finner sårbarheter i maskinhastighet. Anthropic opplyser at modellen fant «tusenvis av sårbarheter med høy alvorlighetsgrad», blant annet i alle de store operativsystemene og nettleserne . Den kan også identifisere og utnytte såkalte zero-day-sårbarheter – sikkerhetshull som leverandøren ennå ikke kjenner til, og som derfor ikke har fått en oppdatering .

Det kan i praksis krympe tidsrommet mellom at en svakhet oppdages, og at den blir utnyttet i virkeligheten. For banker med komplekse, fragmenterte og delvis eldre IT-systemer skaper det et særlig krevende kappløp mellom angrep og oppdateringer .

Kan bli en systemrisiko, ikke bare et IT-problem. Det internasjonale pengefondet (IMF) har advart om at raske, AI-drevne cybertrusler kan «destabilisere det finansielle systemet dersom de ikke håndteres forsiktig». IMF mener myndighetene må prioritere motstandskraft, tilsyn og samarbeid – ikke behandle utviklingen som et rent teknisk eller operasjonelt spørsmål .

Den sentrale bekymringen er at Mythos, eller en tilsvarende modell, kan brukes til å gjennomføre mange koordinerte angrep mot sammenkoblede deler av finanssektoren. Et cyberangrep kan da utvikle seg fra et problem i én virksomhet til en hendelse med betydning for finansiell stabilitet.

Slik passer saken inn i ECBs plan for 2026–2028

ECBs reaksjon på Mythos er ikke et enkeltstående utslag av panikk. Den passer inn i banktilsynets nye plan for 2026–2028, der prioriteringene for første gang på fem år er samlet rundt to hovedområder .

Mythos-saken ligger særlig under prioritet 2: å styrke bankenes operasjonelle motstandskraft og IT-kapasitet . Her forventer ECB blant annet at bankene:

• Etterlever DORA fullt ut, særlig kravene til risiko hos IT-leverandører, rapportering av hendelser og testing av digital motstandskraft .
• Retter opp kjente svakheter innen cybersikkerhet og leverandørstyring som er avdekket i tidligere tilsyn .
• Bygger en mer moden, langsiktig digital strategi med særskilt styring av AI-risiko, inkludert datakvalitet, forklarbarhet, modellstyring og tydelig ansvar for AI-baserte beslutninger .
• Begrenser avhengigheten av enkelte leverandører, ettersom mange generative AI-modeller kommer fra et lite antall store leverandører utenfor EU. Det kan skape risiko knyttet til konsentrasjon, leverandørbinding, datasikkerhet og muligheten til å bytte løsning .

Det nye er dermed ikke bare at ECB ber bankene om å bruke mer penger på sikkerhet. Tilsynet flytter AI-risiko fra å være et smalt teknologitema til å bli et spørsmål om bankenes soliditet og evne til å holde kritiske tjenester i gang .

For bankene betyr det at planer, pilotprosjekter og overordnede prinsipper ikke lenger er nok. De må kunne vise til konkrete og finansierte tiltak – fra raskere patching til bedre leverandørkontroll og mer realistiske tester av hvordan virksomheten fungerer under et alvorlig, AI-forsterket cyberangrep.

Dette var mer enn et generelt teknologiråd. Frank Elderson, ECBs visesentralbanksjef med ansvar for banktilsyn, gjorde tidligere, mer uformell veiledning til en offentlig tilsynsprioritet. Budskapet var at bankene må legge til grunn at angripere kan få tilgang til AI-verktøy med tilsvarende kapasitet. At europeiske banker ikke nødvendigvis har direkte tilgang til Mythos, er ifølge Elderson «ingen unnskyldning for å la være å handle» .

I praksis betyr forventningen raskere sikkerhetsoppdateringer, sterkere beredskaps- og motstandsplaner og full etterlevelse av EUs Digital Operational Resilience Act, DORA . DORA er regelverket som stiller krav til bankenes digitale motstandskraft, blant annet håndtering av IT-leverandører, rapportering av hendelser og testing av evnen til å holde kritiske tjenester i gang.

Modellen som satte fart på bekymringen

Claude Mythos Preview er ikke lansert fritt til offentligheten. Anthropic har i stedet gjort modellen tilgjengelig for et kontrollert partnerprogram kalt Project Glasswing, med rundt 40 utvalgte teknologi- og finansselskaper. Tilgangen skal brukes til defensiv testing av cybersikkerhet .

Likevel har resultatene fra testingen fått stor betydning for tilsynsmyndigheter. Det skyldes at Mythos ikke bare fungerer som en tradisjonell skanner som peker ut mulige svakheter. Modellen har demonstrert evner som ligner på en mer selvstendig cyberoperatør.

Derfor regnes Mythos som en ny type banktrussel

Kan gjennomføre flertrinnsangrep på egen hånd. I kontrollerte tester fra UK AI Security Institute (AISI) fikk Mythos tilgang til et nettverk og et definert mål. Modellen kunne selv oppdage og utnytte sårbarheter i et sårbart nettverk – oppgaver som normalt ville krevd flere dager med arbeid fra erfarne fagfolk .

Den løste også for første gang en simulert, 32 trinn lang angrepstest mot et bedriftsnettverk fra start til slutt. Det skjedde i tre av ti forsøk, mens modellen i gjennomsnitt fullførte 22 av 32 trinn i alle forsøkene .

Finner sårbarheter i maskinhastighet. Anthropic opplyser at modellen fant «tusenvis av sårbarheter med høy alvorlighetsgrad», blant annet i alle de store operativsystemene og nettleserne . Den kan også identifisere og utnytte såkalte zero-day-sårbarheter – sikkerhetshull som leverandøren ennå ikke kjenner til, og som derfor ikke har fått en oppdatering .

Det kan i praksis krympe tidsrommet mellom at en svakhet oppdages, og at den blir utnyttet i virkeligheten. For banker med komplekse, fragmenterte og delvis eldre IT-systemer skaper det et særlig krevende kappløp mellom angrep og oppdateringer .

Kan bli en systemrisiko, ikke bare et IT-problem. Det internasjonale pengefondet (IMF) har advart om at raske, AI-drevne cybertrusler kan «destabilisere det finansielle systemet dersom de ikke håndteres forsiktig». IMF mener myndighetene må prioritere motstandskraft, tilsyn og samarbeid – ikke behandle utviklingen som et rent teknisk eller operasjonelt spørsmål .

Den sentrale bekymringen er at Mythos, eller en tilsvarende modell, kan brukes til å gjennomføre mange koordinerte angrep mot sammenkoblede deler av finanssektoren. Et cyberangrep kan da utvikle seg fra et problem i én virksomhet til en hendelse med betydning for finansiell stabilitet.

Slik passer saken inn i ECBs plan for 2026–2028

ECBs reaksjon på Mythos er ikke et enkeltstående utslag av panikk. Den passer inn i banktilsynets nye plan for 2026–2028, der prioriteringene for første gang på fem år er samlet rundt to hovedområder .

Mythos-saken ligger særlig under prioritet 2: å styrke bankenes operasjonelle motstandskraft og IT-kapasitet . Her forventer ECB blant annet at bankene:

• Etterlever DORA fullt ut, særlig kravene til risiko hos IT-leverandører, rapportering av hendelser og testing av digital motstandskraft .
• Retter opp kjente svakheter innen cybersikkerhet og leverandørstyring som er avdekket i tidligere tilsyn .
• Bygger en mer moden, langsiktig digital strategi med særskilt styring av AI-risiko, inkludert datakvalitet, forklarbarhet, modellstyring og tydelig ansvar for AI-baserte beslutninger .
• Begrenser avhengigheten av enkelte leverandører, ettersom mange generative AI-modeller kommer fra et lite antall store leverandører utenfor EU. Det kan skape risiko knyttet til konsentrasjon, leverandørbinding, datasikkerhet og muligheten til å bytte løsning .

Det nye er dermed ikke bare at ECB ber bankene om å bruke mer penger på sikkerhet. Tilsynet flytter AI-risiko fra å være et smalt teknologitema til å bli et spørsmål om bankenes soliditet og evne til å holde kritiske tjenester i gang .

For bankene betyr det at planer, pilotprosjekter og overordnede prinsipper ikke lenger er nok. De må kunne vise til konkrete og finansierte tiltak – fra raskere patching til bedre leverandørkontroll og mer realistiske tester av hvordan virksomheten fungerer under et alvorlig, AI-forsterket cyberangrep.