O Catalisador: Claude Mythos Preview, da Anthropic

O modelo de IA específico no centro desta tempestade regulatória é o Claude Mythos Preview, da Anthropic . O modelo não foi lançado ao público. Em vez disso, a Anthropic o restringiu a um programa de parceria selecionado chamado Project Glasswing, composto por cerca de 40 empresas "críticas" de tecnologia e finanças, incluindo grandes bancos de Wall Street, exclusivamente para testes defensivos de cibersegurança . Apesar dessas restrições, as capacidades demonstradas pelo modelo tiveram um impacto profundo e imediato nos reguladores financeiros globais .

O Que Torna o Mythos uma Ameaça Nova e Sistêmica

O Claude Mythos Preview não é um scanner de vulnerabilidades comum. Ele representa uma mudança de patamar na capacidade ofensiva de IA, com habilidades práticas para atuar como um operador cibernético autônomo.

Executa ataques de múltiplas etapas de forma autônoma. Em avaliações controladas do UK AI Security Institute (AISI), o Mythos Preview recebeu um alvo e acesso à rede. Ele foi capaz de executar autonomamente ataques de múltiplas etapas em redes vulneráveis, incluindo a descoberta e exploração de falhas de segurança — tarefas que levariam dias para profissionais humanos . Incrivelmente, tornou-se o primeiro modelo a resolver um ataque simulado de 32 etapas a uma rede corporativa do início ao fim, conseguindo o comprometimento total em 3 de cada 10 tentativas .

Encontra milhares de vulnerabilidades críticas em velocidade de máquina. Testes internos da Anthropic revelaram que o modelo encontrou "milhares de vulnerabilidades de alta gravidade, incluindo algumas em todos os principais sistemas operacionais e navegadores web" . O modelo pode identificar e então explorar vulnerabilidades de dia zero — falhas desconhecidas pelo fornecedor do software e para as quais não existe correção — antes que os defensores humanos sequer saibam que elas existem . Isso colapsa fundamentalmente a janela tradicional entre a divulgação de uma vulnerabilidade e sua exploração real, pressionando bancos que dependem de sistemas de TI fragmentados e com décadas de idade .

Representa um risco sistêmico para todo o sistema financeiro. O Fundo Monetário Internacional (FMI) emitiu um alerta precoce, afirmando que riscos cibernéticos movidos a IA, rápidos como este, poderiam "desestabilizar o sistema financeiro se não forem gerenciados com cuidado", instando as autoridades a irem além de tratar esses desenvolvimentos como questões puramente técnicas ou operacionais . A preocupação é que o Mythos, ou um modelo comparável, possa ser usado como arma para lançar ataques em grande escala e simultâneos contra a infraestrutura financeira interconectada, transformando um incidente cibernético em uma crise de estabilidade financeira.

Como a Diretriz Mythos se Encaixa no Plano Mestre de Supervisão 2026-2028 do BCE

A ação urgente sobre o Mythos não é um pânico isolado. É a ação de enforcement inicial mais agressiva dentro das novas prioridades de supervisão 2026–2028 do BCE, que pela primeira vez em cinco anos reduzem o foco para dois pilares centrais .

A diretriz se encaixa diretamente na Prioridade 2: fortalecer a resiliência operacional dos bancos e promover capacidades robustas de TIC . Esta prioridade é um mandato amplo que espera que os bancos façam o seguinte:

• Cumprirem integralmente o DORA, especificamente no que diz respeito ao risco de terceiros de TIC, notificação de incidentes e testes de resiliência operacional digital .
• Corrigirem deficiências conhecidas de cibersegurança e gestão de risco de terceiros que foram sinalizadas em revisões anteriores .
• Desenvolverem uma estratégia digital madura e de longo prazo com governança robusta e específica para IA, incluindo o gerenciamento de riscos em torno da qualidade dos dados, explicabilidade do modelo, risco de concentração de um punhado de provedores de IA não pertencentes à UE e dependência de fornecedor (vendor lock-in) .

A reunião e a diretriz impulsionadas pelo Mythos representam o BCE mudando de "risco de IA como tópico de tecnologia" para "risco de IA como tópico de supervisão prudencial", com uma expectativa implícita de planos de remediação concretos e financiados, e não de pilotos e princípios . A mensagem subjacente é que, neste ciclo de três anos, a capacidade de um banco de sobreviver e manter serviços críticos durante uma grave disrupção cibernética possibilitada por IA não é mais um detalhe técnico — é uma medida central de sua solidez e segurança.

O Catalisador: Claude Mythos Preview, da Anthropic

O modelo de IA específico no centro desta tempestade regulatória é o Claude Mythos Preview, da Anthropic . O modelo não foi lançado ao público. Em vez disso, a Anthropic o restringiu a um programa de parceria selecionado chamado Project Glasswing, composto por cerca de 40 empresas "críticas" de tecnologia e finanças, incluindo grandes bancos de Wall Street, exclusivamente para testes defensivos de cibersegurança . Apesar dessas restrições, as capacidades demonstradas pelo modelo tiveram um impacto profundo e imediato nos reguladores financeiros globais .

O Que Torna o Mythos uma Ameaça Nova e Sistêmica

O Claude Mythos Preview não é um scanner de vulnerabilidades comum. Ele representa uma mudança de patamar na capacidade ofensiva de IA, com habilidades práticas para atuar como um operador cibernético autônomo.

Executa ataques de múltiplas etapas de forma autônoma. Em avaliações controladas do UK AI Security Institute (AISI), o Mythos Preview recebeu um alvo e acesso à rede. Ele foi capaz de executar autonomamente ataques de múltiplas etapas em redes vulneráveis, incluindo a descoberta e exploração de falhas de segurança — tarefas que levariam dias para profissionais humanos . Incrivelmente, tornou-se o primeiro modelo a resolver um ataque simulado de 32 etapas a uma rede corporativa do início ao fim, conseguindo o comprometimento total em 3 de cada 10 tentativas .

Encontra milhares de vulnerabilidades críticas em velocidade de máquina. Testes internos da Anthropic revelaram que o modelo encontrou "milhares de vulnerabilidades de alta gravidade, incluindo algumas em todos os principais sistemas operacionais e navegadores web" . O modelo pode identificar e então explorar vulnerabilidades de dia zero — falhas desconhecidas pelo fornecedor do software e para as quais não existe correção — antes que os defensores humanos sequer saibam que elas existem . Isso colapsa fundamentalmente a janela tradicional entre a divulgação de uma vulnerabilidade e sua exploração real, pressionando bancos que dependem de sistemas de TI fragmentados e com décadas de idade .

Representa um risco sistêmico para todo o sistema financeiro. O Fundo Monetário Internacional (FMI) emitiu um alerta precoce, afirmando que riscos cibernéticos movidos a IA, rápidos como este, poderiam "desestabilizar o sistema financeiro se não forem gerenciados com cuidado", instando as autoridades a irem além de tratar esses desenvolvimentos como questões puramente técnicas ou operacionais . A preocupação é que o Mythos, ou um modelo comparável, possa ser usado como arma para lançar ataques em grande escala e simultâneos contra a infraestrutura financeira interconectada, transformando um incidente cibernético em uma crise de estabilidade financeira.

Como a Diretriz Mythos se Encaixa no Plano Mestre de Supervisão 2026-2028 do BCE

A ação urgente sobre o Mythos não é um pânico isolado. É a ação de enforcement inicial mais agressiva dentro das novas prioridades de supervisão 2026–2028 do BCE, que pela primeira vez em cinco anos reduzem o foco para dois pilares centrais .

A diretriz se encaixa diretamente na Prioridade 2: fortalecer a resiliência operacional dos bancos e promover capacidades robustas de TIC . Esta prioridade é um mandato amplo que espera que os bancos façam o seguinte:

• Cumprirem integralmente o DORA, especificamente no que diz respeito ao risco de terceiros de TIC, notificação de incidentes e testes de resiliência operacional digital .
• Corrigirem deficiências conhecidas de cibersegurança e gestão de risco de terceiros que foram sinalizadas em revisões anteriores .
• Desenvolverem uma estratégia digital madura e de longo prazo com governança robusta e específica para IA, incluindo o gerenciamento de riscos em torno da qualidade dos dados, explicabilidade do modelo, risco de concentração de um punhado de provedores de IA não pertencentes à UE e dependência de fornecedor (vendor lock-in) .

A reunião e a diretriz impulsionadas pelo Mythos representam o BCE mudando de "risco de IA como tópico de tecnologia" para "risco de IA como tópico de supervisão prudencial", com uma expectativa implícita de planos de remediação concretos e financiados, e não de pilotos e princípios . A mensagem subjacente é que, neste ciclo de três anos, a capacidade de um banco de sobreviver e manter serviços críticos durante uma grave disrupção cibernética possibilitada por IA não é mais um detalhe técnico — é uma medida central de sua solidez e segurança.