催化剂：Anthropic 的 Claude Mythos Preview

这场监管风暴的核心是 Anthropic 开发的 Claude Mythos Preview 模型 。该模型并未公开发布，而是仅限于一个名为“Project Glasswing”的受信任合作伙伴计划，涵盖约 40 家“关键”科技和金融公司（包括多家华尔街大行），用于防御性网络安全测试 。尽管有严格限制，该模型展现出的能力已对全球金融监管机构产生了深远且直接的影响 。

全新且系统性的威胁

Claude Mythos Preview 并非简单的漏洞扫描器。它是自主网络攻击能力的代际飞跃。

自主执行多阶段攻击。 在英国 AI 安全研究所（AISI）的受控评估中，Mythos Preview 在获得目标和网络访问权限后，能够自主对脆弱的网络执行多阶段攻击，包括发现和利用安全漏洞——这些任务人类专业人员通常需要数天才能完成 。令人难以置信的是，它成为首个从零开始解决 32 步模拟企业网络攻击的模型，并在 10 次尝试中成功完全攻陷了 3 次 。

以机器速度发现数千个关键漏洞。 Anthropic 自身的测试显示，该模型发现了“数千个高严重性漏洞，包括存在于每个主流操作系统和网页浏览器中的漏洞”。该模型能够识别并利用零日漏洞——那些软件厂商未知且尚无补丁的缺陷——其速度远超人脑，在人类防御者意识到威胁前，漏洞就已被利用 。这从根本上压缩了从漏洞披露到现实世界利用的传统时间窗口，给依赖碎片化、老旧 IT 系统的银行带来了巨大压力 。

对整个金融系统构成系统性风险。 国际货币基金组织（IMF）发出早期警告，称此类快速移动的 AI 驱动网络风险“若管理不当，可能破坏金融系统的稳定”，并敦促当局不要将这些发展视为纯粹的技术或运营问题 。担忧在于，Mythos 或类似模型可能被武器化，对互联互通的金融基础设施发起大规模、同步攻击，将网络事件转变为金融危机。

Mythos 指令如何融入 ECB 的 2026-2028 监管蓝图

针对 Mythos 的紧急行动并非孤立的恐慌。它是 ECB 全新精简后的 2026-2028 年监管优先事项中最具侵略性的早期执法行动。这是五年来 ECB 首次将监管重点收窄为两大核心支柱 。

该指令完全符合第二优先事项：强化银行的运营韧性并培养强大的 ICT 能力。这一广泛的任务要求银行做到以下几点：

• 完全遵守 DORA，尤其是在 ICT 第三方风险、事件报告和数字运营韧性测试方面 。
• 解决过去审查中指出的已知网络安全和第三方风险管理缺陷。
• 制定成熟、长期的数字化转型战略，并建立健全的 AI 特定治理架构，包括管理数据质量、模型可解释性、来自少数非欧盟 AI 提供商的集中度风险以及供应商锁定等风险 。

Mythos 驱动的会议和指令标志着 ECB 将“AI 风险”从“技术话题”提升为“审慎监管话题”，并隐含了对具体、有资金支持的整改计划（而非试点项目和原则性文件）的期望 。其核心信息是：在这个三年周期内，一家银行能否在严重的、由 AI 驱动的网络攻击中幸存并维持关键服务，已不再是一个技术上的锦上添花，而是衡量其安全与稳健性的核心标准。

催化剂：Anthropic 的 Claude Mythos Preview

这场监管风暴的核心是 Anthropic 开发的 Claude Mythos Preview 模型 。该模型并未公开发布，而是仅限于一个名为“Project Glasswing”的受信任合作伙伴计划，涵盖约 40 家“关键”科技和金融公司（包括多家华尔街大行），用于防御性网络安全测试 。尽管有严格限制，该模型展现出的能力已对全球金融监管机构产生了深远且直接的影响 。

全新且系统性的威胁

Claude Mythos Preview 并非简单的漏洞扫描器。它是自主网络攻击能力的代际飞跃。

自主执行多阶段攻击。 在英国 AI 安全研究所（AISI）的受控评估中，Mythos Preview 在获得目标和网络访问权限后，能够自主对脆弱的网络执行多阶段攻击，包括发现和利用安全漏洞——这些任务人类专业人员通常需要数天才能完成 。令人难以置信的是，它成为首个从零开始解决 32 步模拟企业网络攻击的模型，并在 10 次尝试中成功完全攻陷了 3 次 。

以机器速度发现数千个关键漏洞。 Anthropic 自身的测试显示，该模型发现了“数千个高严重性漏洞，包括存在于每个主流操作系统和网页浏览器中的漏洞”。该模型能够识别并利用零日漏洞——那些软件厂商未知且尚无补丁的缺陷——其速度远超人脑，在人类防御者意识到威胁前，漏洞就已被利用 。这从根本上压缩了从漏洞披露到现实世界利用的传统时间窗口，给依赖碎片化、老旧 IT 系统的银行带来了巨大压力 。

对整个金融系统构成系统性风险。 国际货币基金组织（IMF）发出早期警告，称此类快速移动的 AI 驱动网络风险“若管理不当，可能破坏金融系统的稳定”，并敦促当局不要将这些发展视为纯粹的技术或运营问题 。担忧在于，Mythos 或类似模型可能被武器化，对互联互通的金融基础设施发起大规模、同步攻击，将网络事件转变为金融危机。

Mythos 指令如何融入 ECB 的 2026-2028 监管蓝图

针对 Mythos 的紧急行动并非孤立的恐慌。它是 ECB 全新精简后的 2026-2028 年监管优先事项中最具侵略性的早期执法行动。这是五年来 ECB 首次将监管重点收窄为两大核心支柱 。

该指令完全符合第二优先事项：强化银行的运营韧性并培养强大的 ICT 能力。这一广泛的任务要求银行做到以下几点：

• 完全遵守 DORA，尤其是在 ICT 第三方风险、事件报告和数字运营韧性测试方面 。
• 解决过去审查中指出的已知网络安全和第三方风险管理缺陷。
• 制定成熟、长期的数字化转型战略，并建立健全的 AI 特定治理架构，包括管理数据质量、模型可解释性、来自少数非欧盟 AI 提供商的集中度风险以及供应商锁定等风险 。

Mythos 驱动的会议和指令标志着 ECB 将“AI 风险”从“技术话题”提升为“审慎监管话题”，并隐含了对具体、有资金支持的整改计划（而非试点项目和原则性文件）的期望 。其核心信息是：在这个三年周期内，一家银行能否在严重的、由 AI 驱动的网络攻击中幸存并维持关键服务，已不再是一个技术上的锦上添花，而是衡量其安全与稳健性的核心标准。