Катализатор: предварительная версия Anthropic Claude Mythos

В центре этого регуляторного шторма находится ИИ-модель Anthropic Claude Mythos Preview . Модель не была выпущена в открытый доступ. Вместо этого Anthropic ограничил её использование проверенной партнерской программой под названием Project Glasswing, в которую вошли около 40 «критически важных» технологических и финансовых компаний, включая крупные банки с Уолл-стрит, и только для целей оборонительного тестирования кибербезопасности . Несмотря на эти ограничения, продемонстрированные возможности модели оказали глубокое и немедленное влияние на глобальных финансовых регуляторов .

Что делает Mythos новой системной угрозой

Claude Mythos Preview — это не узконаправленный сканер уязвимостей. Он представляет собой качественный скачок в возможностях наступательного ИИ, обладая практическими навыками автономного кибер-оператора.

Автономное выполнение многоэтапных атак. В контролируемых оценках Британского института безопасности ИИ (AISI) Mythos Preview получил цель и доступ к сети. Он смог автономно выполнять многоэтапные атаки на уязвимые сети, включая обнаружение и эксплуатацию уязвимостей — задачи, на которые у специалистов-людей ушли бы дни работы . Невероятно, но он стал первой моделью, которая решила 32-шаговую симулированную атаку на корпоративную сеть от начала до конца, добившись полной компрометации в 3 из 10 попыток .

Находит тысячи критических уязвимостей с машинной скоростью. Собственные тесты Anthropic показали, что модель обнаружила «тысячи уязвимостей высокой степени серьезности, в том числе в каждой крупной операционной системе и веб-браузере» . Модель может идентифицировать, а затем эксплуатировать уязвимости нулевого дня (zero-day), то есть дефекты, неизвестные разработчику программного обеспечения, для которых еще не существует исправления. Это делает её опасной ещё до того, как защитники узнают об их существовании . Это фундаментально сжимает традиционное окно между раскрытием уязвимости и её реальной эксплуатацией, оказывая давление на банки, которые полагаются на фрагментированные, устаревшие ИТ-системы .

Представляет системный риск для всей финансовой системы. Международный валютный фонд (МВФ) выпустил раннее предупреждение, заявив, что быстро развивающиеся киберриски на базе ИИ такого рода могут «дестабилизировать финансовую систему, если ими не управлять должным образом», призвав власти не рассматривать эти события как чисто технические или операционные проблемы . Опасение заключается в том, что Mythos, или аналогичная модель, может быть использована в качестве оружия для запуска крупномасштабных одновременных атак на взаимосвязанную финансовую инфраструктуру, превращая киберинцидент в кризис финансовой стабильности.

Как директива Mythos вписывается в надзорный план ЕЦБ на 2026–2028 годы

Срочные действия в связи с Mythos — это не изолированная паника. Это самый агрессивный ранний удар в рамках новой упрощенной системы надзорных приоритетов ЕЦБ на 2026–2028 годы, которая впервые за пять лет сужает фокус до двух основных направлений .

Директива полностью вписывается в Приоритет 2: укрепление операционной устойчивости банков и развитие надежных ИКТ-возможностей . Этот приоритет представляет собой широкий мандат, который ожидает от банков следующего:

• Полное соблюдение DORA, особенно в отношении сторонних ИКТ-рисков, отчетности об инцидентах и тестирования цифровой операционной устойчивости .
• Устранение известных недостатков в кибербезопасности и управлении сторонними рисками, которые были отмечены в предыдущих проверках .
• Разработка зрелой долгосрочной цифровой стратегии с надежным управлением, специфичным для ИИ, включая управление рисками, связанными с качеством данных, объяснимостью модели, концентрацией риска из-за использования ограниченного числа неевропейских поставщиков ИИ и зависимостью от одного вендора .

Совещание и директива, вызванные Mythos, знаменуют собой переход ЕЦБ от «ИИ-риска как технологической темы» к «ИИ-риску как теме пруденциального надзора» с подразумеваемым ожиданием конкретных, финансируемых планов по устранению недостатков, а не пилотных проектов и общих принципов . Основной посыл заключается в том, что в рамках этого трехлетнего цикла способность банка пережить и поддерживать критические услуги во время серьезного киберсбоя, вызванного ИИ, больше не является технической особенностью — это ключевой показатель его надежности и устойчивости.

Катализатор: предварительная версия Anthropic Claude Mythos

В центре этого регуляторного шторма находится ИИ-модель Anthropic Claude Mythos Preview . Модель не была выпущена в открытый доступ. Вместо этого Anthropic ограничил её использование проверенной партнерской программой под названием Project Glasswing, в которую вошли около 40 «критически важных» технологических и финансовых компаний, включая крупные банки с Уолл-стрит, и только для целей оборонительного тестирования кибербезопасности . Несмотря на эти ограничения, продемонстрированные возможности модели оказали глубокое и немедленное влияние на глобальных финансовых регуляторов .

Что делает Mythos новой системной угрозой

Claude Mythos Preview — это не узконаправленный сканер уязвимостей. Он представляет собой качественный скачок в возможностях наступательного ИИ, обладая практическими навыками автономного кибер-оператора.

Автономное выполнение многоэтапных атак. В контролируемых оценках Британского института безопасности ИИ (AISI) Mythos Preview получил цель и доступ к сети. Он смог автономно выполнять многоэтапные атаки на уязвимые сети, включая обнаружение и эксплуатацию уязвимостей — задачи, на которые у специалистов-людей ушли бы дни работы . Невероятно, но он стал первой моделью, которая решила 32-шаговую симулированную атаку на корпоративную сеть от начала до конца, добившись полной компрометации в 3 из 10 попыток .

Находит тысячи критических уязвимостей с машинной скоростью. Собственные тесты Anthropic показали, что модель обнаружила «тысячи уязвимостей высокой степени серьезности, в том числе в каждой крупной операционной системе и веб-браузере» . Модель может идентифицировать, а затем эксплуатировать уязвимости нулевого дня (zero-day), то есть дефекты, неизвестные разработчику программного обеспечения, для которых еще не существует исправления. Это делает её опасной ещё до того, как защитники узнают об их существовании . Это фундаментально сжимает традиционное окно между раскрытием уязвимости и её реальной эксплуатацией, оказывая давление на банки, которые полагаются на фрагментированные, устаревшие ИТ-системы .

Представляет системный риск для всей финансовой системы. Международный валютный фонд (МВФ) выпустил раннее предупреждение, заявив, что быстро развивающиеся киберриски на базе ИИ такого рода могут «дестабилизировать финансовую систему, если ими не управлять должным образом», призвав власти не рассматривать эти события как чисто технические или операционные проблемы . Опасение заключается в том, что Mythos, или аналогичная модель, может быть использована в качестве оружия для запуска крупномасштабных одновременных атак на взаимосвязанную финансовую инфраструктуру, превращая киберинцидент в кризис финансовой стабильности.

Как директива Mythos вписывается в надзорный план ЕЦБ на 2026–2028 годы

Срочные действия в связи с Mythos — это не изолированная паника. Это самый агрессивный ранний удар в рамках новой упрощенной системы надзорных приоритетов ЕЦБ на 2026–2028 годы, которая впервые за пять лет сужает фокус до двух основных направлений .

Директива полностью вписывается в Приоритет 2: укрепление операционной устойчивости банков и развитие надежных ИКТ-возможностей . Этот приоритет представляет собой широкий мандат, который ожидает от банков следующего:

• Полное соблюдение DORA, особенно в отношении сторонних ИКТ-рисков, отчетности об инцидентах и тестирования цифровой операционной устойчивости .
• Устранение известных недостатков в кибербезопасности и управлении сторонними рисками, которые были отмечены в предыдущих проверках .
• Разработка зрелой долгосрочной цифровой стратегии с надежным управлением, специфичным для ИИ, включая управление рисками, связанными с качеством данных, объяснимостью модели, концентрацией риска из-за использования ограниченного числа неевропейских поставщиков ИИ и зависимостью от одного вендора .

Совещание и директива, вызванные Mythos, знаменуют собой переход ЕЦБ от «ИИ-риска как технологической темы» к «ИИ-риску как теме пруденциального надзора» с подразумеваемым ожиданием конкретных, финансируемых планов по устранению недостатков, а не пилотных проектов и общих принципов . Основной посыл заключается в том, что в рамках этого трехлетнего цикла способность банка пережить и поддерживать критические услуги во время серьезного киберсбоя, вызванного ИИ, больше не является технической особенностью — это ключевой показатель его надежности и устойчивости.