AI 时代金融安全的“珍珠港时刻”：欧洲央行急召银行，要求立刻打补丁

拉响警报的具体能力体现在两方面。其一，Mythos 的漏洞检测速度和规模，让传统的安全工具和手动修补流程瞬间过时。它已在数百个项目中发现了数以千计的漏洞，速度远超任何人类团队或常规扫描器 。其二，也是更令人担忧的一点，该模型展示了“双重用途”的攻击能力：它不仅能找到漏洞，还能生成针对这些漏洞的有效攻击程序（Exploit）。根据一些评估，其首次尝试的成功率就超过了83% 。

这种组合意味着，恶意行为者——无论是国家支持的黑客组织，还是老练的网络犯罪分子——理论上都可以利用类似的人工智能工具来扫描银行基础设施，识别那些未打补丁的漏洞，并在机构做出反应之前发动攻击。欧洲央行由此得出结论，防御的时间窗口，必须从几周乃至几个月，缩短到几小时甚至几分钟 。

“立刻打补丁：没有访问权限，不是借口”

欧洲央行此次警告中最不寻常的一点，或许是它先发制人地驳斥了一个它知道银行必然会提出的论点：“我们都没权限用 Mythos，要怎么防御它？”

埃尔德森的回应毫不含糊。他在5月13日的一次采访中说：“缺乏访问权限，绝不是不作为的借口。恰恰相反，这更突显了银行加快脚步、立刻行动的紧迫性。” 到5月底，这一信息已升级为一项操作指令：加快软件补丁的部署。监管机构强调了“该威胁对金融系统的严重性”，并敦促银行加速保障其信息技术系统的安全，无论自身访问状态如何，都应将该模型视为一种活跃的风险 。

欧洲央行的逐步升级：从询问到紧急召见

欧洲央行在2026年春季的一系列动作，揭示出一位监管者正全力奔跑，试图理解并遏制一个远超其现有监管工具范畴的威胁。

• 2026年4月中旬： 欧洲央行召集了欧元区银行的首席风险官，进行了一次电话会议，以听取他们对 Mythos 带来的风险的评估 。此时的基调还是调研式的——监管者正在搜集关于一个新风险源的信息。

• 2026年5月13日： 态度转为公开的紧迫。埃尔德森利用欧洲央行《监管通讯》的一次采访机会，敦促银行迅速做好准备，以应对“人工智能辅助的网络攻击”，并明确点名了 Mythos 和类似工具 。

• 2026年5月24日至26日： 行动达到顶峰。欧洲央行于5月26日紧急召见了欧元区银行高管，同时举办了一场线上会议，吸引了“超过300名来自行业、公共部门和代表性协会的参与者……分享经验、交换信息、讨论共同挑战” 。

这一连串事件揭示了从情报搜集到施加运营压力的演变。到了5月最后一周，欧洲央行已不再询问银行知道些什么，而是在直截了当地告诉它们该做什么。

“玻璃翼计划”与信息不对称

这场危机的核心在于“玻璃翼计划”（Project Glasswing），这是 Anthropic 公司的一个受控分发项目。该公司没有公开发布 Mythos，而是将其访问权限授予了一个受限制的关键基础设施合作伙伴联盟——其中包括摩根大通、美国银行这样的大型美国银行——让它们能够用这个模型来查找和修复自身系统中的漏洞 。

而欧洲银行基本上被排除在外。这造成了一种尖锐的信息不对等：美国机构能用有史以来最强大的网络安全人工智能来探查自己的系统，而欧洲银行对 Mythos 能够暴露的同样漏洞，以及对手可能利用的同样漏洞，却一无所知 。

欧洲央行的回应是，要求在欧元区有业务的美国银行，自愿将它们在“玻璃翼计划”中获得的威胁情报和缓解方案，分享给它们的欧洲同行 。这是一个非同寻常的请求——要求商业竞争对手通过自愿合作，来弥合一条地缘政治性质的访问权鸿沟。

谈判停滞与监管者的挫败感

这条访问鸿沟之所以持续存在，是因为到2026年5月底，欧盟与 Anthropic 之间的高层谈判已正式搁浅。5月22日，就在欧盟财长峰会前夕，西班牙经济部长卡洛斯·库尔波证实：“不幸的是，在这方面进展十分有限。” 尽管 Anthropic 与欧盟官员有过数次会面，但消息来源称，双方“并未就给予欧洲实体使用 Claude Mythos 的权限进行直接对话”，这引发了相关媒体所称的“对该大洲严峻的网络安全担忧” 。

Anthropic 的立场是刻意为之。该公司表示，Mythos 具有攻击性的网络安全能力，因此有必要限制公开发布以防止滥用。早在2026年4月，它就曾表示计划“很快”向欧洲银行提供访问权，但到了5月底，仍未达成任何具体协议 。

雪上加霜的是监管现实。《欧盟人工智能法案》第92条授予欧盟委员会访问具有系统性风险的人工智能模型进行评估的权力，该条款自2025年8月起就已生效。然而，其关键的强制执法权——包括依据第101条进行罚款的权力——要到2026年8月2日才会启动 。这意味着，正当威胁显得最为严峻的关口，欧盟人工智能办公室只能请求访问，却缺少强制要求访问的法律杠杆。

埃尔德森直接表达了由此导致的两难困境，他认为欧盟缺乏访问权限，反而让网络安全局势雪上加霜：欧洲银行无法使用那个恰恰能暴露自身弱点的工具，而它们的美国竞争对手却可以借此积极加固防线 。

接下来会怎样

欧洲央行5月下旬的警告，标志着人工智能能力与金融稳定风险交汇点上的一个分水岭。随之而来的是欧元区银行匆忙加速修补周期，而那些更大的问题依然悬而未决。Anthropic 会在8月欧盟获得强制执行权之前，向欧洲开放访问权限吗？银行间自发的威胁情报共享，能切实弥合这道鸿沟吗？而最根本的问题是，那个为“人为速度”的威胁时代而设计的金融监管架构，是否足以应对一个人工智能模型可以比机构打补丁更快速地发现并利用漏洞的新世界？

就目前而言，欧洲央行的指令毫不含糊：立刻打补丁，分享你所知的一切，并假设威胁已经到来。按照埃尔德森的评估，留给人们的时间，已经不多了。