Katalizator: Anthropic Claude Mythos Preview

Konkretny model AI będący w centrum tej regulacyjnej burzy to Anthropic Claude Mythos Preview . Model nie został udostępniony publicznie. Zamiast tego Anthropic ograniczył go do zweryfikowanego programu partnerskiego o nazwie Project Glasswing, obejmującego około 40 „kluczowych” firm technologicznych i finansowych, w tym główne banki z Wall Street, wyłącznie do celów defensywnego testowania cyberbezpieczeństwa . Pomimo tych ograniczeń, zademonstrowane możliwości modelu wywarły głęboki i natychmiastowy wpływ na globalnych regulatorów finansowych .

Co sprawia, że Mythos jest nowym i systemowym zagrożeniem

Claude Mythos Preview nie jest wąskim skanerem podatności. Stanowi on przełom w możliwościach ofensywnego AI, posiadając praktyczne umiejętności do działania jako autonomiczny operator cybernetyczny.

Autonomicznie wykonuje wieloetapowe ataki. W kontrolowanych ocenach brytyjskiego Instytutu Bezpieczeństwa AI (AISI), Mythos Preview otrzymał cel i dostęp do sieci. Był w stanie autonomicznie przeprowadzać wieloetapowe ataki na podatne na ataki sieci, w tym odkrywać i wykorzystywać luki w zabezpieczeniach – zadania, które ludzkim profesjonalistom zajęłyby dni pracy . Co niewiarygodne, był to pierwszy model, który rozwiązał 32-etapowy symulowany atak na sieć korporacyjną od początku do końca, osiągając całkowite przejęcie w 3 z 10 prób .

Znajduje tysiące krytycznych luk z szybkością maszyny. Wewnętrzne testy Anthropic ujawniły, że model znalazł „tysiące luk o wysokiej dotkliwości, w tym w każdym głównym systemie operacyjnym i przeglądarce internetowej” . Model może identyfikować, a następnie wykorzystywać luki typu zero-day – wady nieznane dostawcy oprogramowania, dla których nie istnieje jeszcze łatka – zanim ludzcy obrońcy zdadzą sobie sprawę z ich istnienia . Zasadniczo skraca to tradycyjne okno między ujawnieniem luki a jej rzeczywistym wykorzystaniem, wywierając presję na banki, które polegają na rozdrobnionych, często kilkudziesięcioletnich systemach IT .

Stanowi systemowe ryzyko dla całego systemu finansowego. Międzynarodowy Fundusz Walutowy (MFW) wydał wczesne ostrzeżenie, stwierdzając, że szybko rozwijające się, napędzane przez AI ryzyka cybernetyczne tego rodzaju mogą „zdestabilizować system finansowy, jeśli nie będą starannie zarządzane”, wzywając władze do wyjścia poza traktowanie tych wydarzeń jako czysto technicznych lub operacyjnych . Obawa polega na tym, że Mythos lub porównywalny model mógłby zostać użyty do przeprowadzenia zakrojonych na szeroką skalę, jednoczesnych ataków na połączoną infrastrukturę finansową, przekształcając incydent cybernetyczny w kryzys stabilności finansowej.

Jak dyrektywa Mythos wpisuje się w nadzorczy plan EBC na lata 2026–2028

Pilne działania w sprawie Mythos nie są odosobnioną paniką. To najbardziej agresywny wczesny ruch egzekucyjny w ramach nowo usprawnionych priorytetów nadzorczych EBC na lata 2026–2028, które po raz pierwszy od pięciu lat zawężają zakres do dwóch głównych filarów .

Dyrektywa mieści się wprost w Priorytecie 2: wzmacnianie odporności operacyjnej banków i wspieranie solidnych zdolności ICT . Ten priorytet to szeroki mandat, który oczekuje od banków:

• Pełnej zgodności z DORA, szczególnie w zakresie ryzyka związanego z zewnętrznymi dostawcami ICT, raportowania incydentów i testowania odporności operacyjnej .
• Rozwiązania znanych niedociągnięć w cyberbezpieczeństwie i zarządzaniu ryzykiem stron trzecich, które zostały wskazane w poprzednich przeglądach .
• Opracowania dojrzałej, długoterminowej strategii cyfrowej z solidnym, specyficznym dla AI zarządzaniem, w tym zarządzaniem ryzykiem związanym z jakością danych, wyjaśnialnością modeli, ryzykiem koncentracji wynikającym z kilku nieunijnych dostawców AI oraz uzależnieniem od dostawcy .

Spotkanie i dyrektywa napędzane przez Mythos oznaczają przesunięcie przez EBC od „ryzyka AI jako tematu technicznego” do „ryzyka AI jako tematu nadzoru ostrożnościowego”, z dorozumianym oczekiwaniem konkretnych, sfinansowanych planów naprawczych, a nie pilotaży i zasad . Podstawowe przesłanie jest takie, że w tym trzyletnim cyklu zdolność banku do przetrwania i utrzymania krytycznych usług podczas poważnych, umożliwionych przez AI zakłóceń cybernetycznych nie jest już technicznym udogodnieniem – jest podstawową miarą jego bezpieczeństwa i stabilności.

Katalizator: Anthropic Claude Mythos Preview

Konkretny model AI będący w centrum tej regulacyjnej burzy to Anthropic Claude Mythos Preview . Model nie został udostępniony publicznie. Zamiast tego Anthropic ograniczył go do zweryfikowanego programu partnerskiego o nazwie Project Glasswing, obejmującego około 40 „kluczowych” firm technologicznych i finansowych, w tym główne banki z Wall Street, wyłącznie do celów defensywnego testowania cyberbezpieczeństwa . Pomimo tych ograniczeń, zademonstrowane możliwości modelu wywarły głęboki i natychmiastowy wpływ na globalnych regulatorów finansowych .

Co sprawia, że Mythos jest nowym i systemowym zagrożeniem

Claude Mythos Preview nie jest wąskim skanerem podatności. Stanowi on przełom w możliwościach ofensywnego AI, posiadając praktyczne umiejętności do działania jako autonomiczny operator cybernetyczny.

Autonomicznie wykonuje wieloetapowe ataki. W kontrolowanych ocenach brytyjskiego Instytutu Bezpieczeństwa AI (AISI), Mythos Preview otrzymał cel i dostęp do sieci. Był w stanie autonomicznie przeprowadzać wieloetapowe ataki na podatne na ataki sieci, w tym odkrywać i wykorzystywać luki w zabezpieczeniach – zadania, które ludzkim profesjonalistom zajęłyby dni pracy . Co niewiarygodne, był to pierwszy model, który rozwiązał 32-etapowy symulowany atak na sieć korporacyjną od początku do końca, osiągając całkowite przejęcie w 3 z 10 prób .

Znajduje tysiące krytycznych luk z szybkością maszyny. Wewnętrzne testy Anthropic ujawniły, że model znalazł „tysiące luk o wysokiej dotkliwości, w tym w każdym głównym systemie operacyjnym i przeglądarce internetowej” . Model może identyfikować, a następnie wykorzystywać luki typu zero-day – wady nieznane dostawcy oprogramowania, dla których nie istnieje jeszcze łatka – zanim ludzcy obrońcy zdadzą sobie sprawę z ich istnienia . Zasadniczo skraca to tradycyjne okno między ujawnieniem luki a jej rzeczywistym wykorzystaniem, wywierając presję na banki, które polegają na rozdrobnionych, często kilkudziesięcioletnich systemach IT .

Stanowi systemowe ryzyko dla całego systemu finansowego. Międzynarodowy Fundusz Walutowy (MFW) wydał wczesne ostrzeżenie, stwierdzając, że szybko rozwijające się, napędzane przez AI ryzyka cybernetyczne tego rodzaju mogą „zdestabilizować system finansowy, jeśli nie będą starannie zarządzane”, wzywając władze do wyjścia poza traktowanie tych wydarzeń jako czysto technicznych lub operacyjnych . Obawa polega na tym, że Mythos lub porównywalny model mógłby zostać użyty do przeprowadzenia zakrojonych na szeroką skalę, jednoczesnych ataków na połączoną infrastrukturę finansową, przekształcając incydent cybernetyczny w kryzys stabilności finansowej.

Jak dyrektywa Mythos wpisuje się w nadzorczy plan EBC na lata 2026–2028

Pilne działania w sprawie Mythos nie są odosobnioną paniką. To najbardziej agresywny wczesny ruch egzekucyjny w ramach nowo usprawnionych priorytetów nadzorczych EBC na lata 2026–2028, które po raz pierwszy od pięciu lat zawężają zakres do dwóch głównych filarów .

Dyrektywa mieści się wprost w Priorytecie 2: wzmacnianie odporności operacyjnej banków i wspieranie solidnych zdolności ICT . Ten priorytet to szeroki mandat, który oczekuje od banków:

• Pełnej zgodności z DORA, szczególnie w zakresie ryzyka związanego z zewnętrznymi dostawcami ICT, raportowania incydentów i testowania odporności operacyjnej .
• Rozwiązania znanych niedociągnięć w cyberbezpieczeństwie i zarządzaniu ryzykiem stron trzecich, które zostały wskazane w poprzednich przeglądach .
• Opracowania dojrzałej, długoterminowej strategii cyfrowej z solidnym, specyficznym dla AI zarządzaniem, w tym zarządzaniem ryzykiem związanym z jakością danych, wyjaśnialnością modeli, ryzykiem koncentracji wynikającym z kilku nieunijnych dostawców AI oraz uzależnieniem od dostawcy .

Spotkanie i dyrektywa napędzane przez Mythos oznaczają przesunięcie przez EBC od „ryzyka AI jako tematu technicznego” do „ryzyka AI jako tematu nadzoru ostrożnościowego”, z dorozumianym oczekiwaniem konkretnych, sfinansowanych planów naprawczych, a nie pilotaży i zasad . Podstawowe przesłanie jest takie, że w tym trzyletnim cyklu zdolność banku do przetrwania i utrzymania krytycznych usług podczas poważnych, umożliwionych przez AI zakłóceń cybernetycznych nie jest już technicznym udogodnieniem – jest podstawową miarą jego bezpieczeństwa i stabilności.