ECB向歐元區銀行發最後通牒：AI漏洞狩獵者Mythos殺到，即刻修補系統！

喺2026年5月底，歐洲央行（ECB）打破咗佢一貫審慎嘅監管語調，向歐元區嘅金融業界發出一個直接兼且緊急嘅訊息：一款特定嘅商業AI模型已經從根本上改變咗網絡威脅嘅格局，沿用標準嘅修補程式更新週期已經行唔通。

呢款模型就係Anthropic嘅Claude Mythos Preview，一個連佢嘅創造者都因為太擅長發現同利用軟件漏洞，而要限制公眾存取嘅系統。歐洲央行嘅警告並唔係憑空猜測。截至開會嗰陣，Mythos已經喺281個開源項目中，發現咗1,596個零日漏洞（即係未被披露嘅安全漏洞），而當中只得97個被修復 。Anthropic自己都話，佢發現嘅漏洞有超過99%都未被解決，貿然公開披露係不負責任嘅行為 。

歐洲央行透過一系列不斷升級嘅溝通，向銀行傳達嘅核心訊息係：所有銀行都必須將Mythos視為一個活躍風險，並且即刻修補你哋嘅系統——無論你哋自己有冇直接用到呢個模型 。 呢篇文章會拆解當中最令人憂慮嘅細節、緊張嘅地緣政治背景，以及定義呢場危機嘅監管僵局。

警告：一個全新嘅威脅格局

歐洲央行副行長德金多斯（Luis de Guindos）喺5月27日總結咗呢個新現實，向記者表示銀行「如果想控制到呢啲能夠發現軟件漏洞嘅新AI模型，就必須加大對網絡安全嘅投資」。佢嘅監事會副主席埃爾德森（Frank Elderson）喺幾日前講得更直白，從營運角度描述咗呢個轉變：「前沿模型嘅自主網絡能力正喺度快速進步。前沿模型可以自主完成嘅網絡任務長度，喺短短幾個月內就翻咗一倍。」

觸發警報嘅具體能力有兩方面。首先，Mythos嘅漏洞偵測規模同速度，令傳統嘅安全工具同人手修補週期變得過時。佢發現數以千計漏洞嘅速度，快過任何人類團隊或者傳統掃描器 。其次，更加令人擔憂嘅係，呢個模型展示咗「雙重用途」嘅攻擊能力：佢唔單止可以發現漏洞，仲可以為呢啲漏洞生成有效嘅攻擊程式碼，根據某啲評估，首次攻擊成功率超過83% 。

呢種組合意味住，惡意行為者——無論係國家支持嘅黑客組織定係老練嘅犯罪集團——理論上都可以利用類似嘅AI工具嚟掃描銀行基建，辨識未修補嘅漏洞，並喺相關機構反應到之前發動攻擊。歐洲央行得出嘅結論係，防禦嘅時間線需要由以星期或月計，縮短到以小時或分鐘計 。

即刻修補！冇得用模型唔係藉口

歐洲央行呢次訊息最唔尋常嘅一點，係佢預先反駁咗一個佢知道銀行實會提出嘅論點：「我哋根本冇得用Mythos，點防禦佢呀？」

埃爾德森嘅回應斬釘截鐵。佢喺5月13日嘅訪問中講明：「冇得存取並唔係唔做嘢嘅藉口。啱啱相反，呢個情況令銀行更需要立即採取行動。」 到咗5月底，呢個訊息已經升級為一項營運指令：加快推出軟件修補程式。呢位監管官員強調咗呢個威脅對金融系統嘅「嚴重性」，並敦促銀行加快保護佢哋IT系統嘅工作，無論佢哋自己有冇存取權，都要將呢個模型視為活躍風險 。

歐洲央行嘅升級溝通：由查詢到緊急傳召

歐洲央行喺2026年春季嘅行動，揭示咗一個監管機構點樣拼命去理解同遏制一個遠超其現有監管工具範疇嘅威脅。

2026年4月中： 歐洲央行召集咗歐元區銀行嘅首席風險官開電話會議，去了解佢哋對Mythos所帶來風險嘅評估 。喺呢個階段，語氣仲係詢問性質——監管人員只係收集緊關於一個潛在新風險來源嘅資訊。

2026年5月13日： 姿態轉向公開嘅逼切性。埃爾德森透過歐洲央行《監管通訊》嘅訪問，敦促銀行盡快為AI輔助嘅網絡攻擊做好準備，仲明確點名提到Mythos同類似嘅工具 。

2026年5月24至26日： 溝通達到頂峰。歐洲央行喺5月26日傳召歐元區銀行高層召開緊急會議，同時仲主持咗一場網上會議，吸引咗「嚟自業界、公共部門同代表協會嘅超過300名參加者」一齊分享經驗同討論共同面對嘅挑戰 。

呢個過程反映出，歐洲央行由情報收集階段，迅速演變成施加營運壓力。到咗5月最後一個星期，歐洲央行已經唔再係問銀行知道啲咩，而係直接話畀佢哋聽要做啲乜。

「玻璃翼計劃」與情報不對稱

呢場危機嘅核心，係Anthropic名為「**玻璃翼計劃」（Project Glasswing）**嘅受控發布計劃。Anthropic並無將Mythos公開發布，而係將存取權限授予一個由關鍵基建合作夥伴組成嘅受限聯盟——包括摩根大通（JPMorgan Chase）同美國銀行（Bank of America）等主要美國銀行——等佢哋可以用呢個模型嚟發現同修復自身系統嘅漏洞 。

歐洲銀行基本上都被排除在外。呢個情況造成咗一個尖銳嘅情報不對稱：美國嘅金融機構可以用呢個有史以來最先進嘅網絡安全AI嚟檢查自己嘅系統，但歐洲嘅銀行就對Mythos有能力暴露、而且敵對勢力有可能利用嘅相同漏洞，仍然係蒙在鼓裡 。

歐洲央行嘅回應係，要求喺歐元區有業務嘅美國銀行，自願將透過玻璃翼計劃學到嘅威脅情報同緩解心得，同佢哋嘅歐洲競爭對手分享 。 呢個係一個極唔尋常嘅要求——要商業競爭對手透過自願合作，嚟彌補因地緣政治而產生嘅資訊鴻溝。

談判停滯與監管挫敗

呢個資訊鴻溝之所以持續存在，係因為截至2026年5月底，歐盟同Anthropic之間嘅高層談判已經正式陷入僵局。西班牙經濟部長卡洛斯·庫爾波（Carlos Cuerpo）喺5月22日嘅歐盟財長峰會前證實：「唔好彩嘅係，呢方面嘅進展好有限。」 儘管Anthropic同歐盟官員舉行過幾次會議，但有消息指，「並無進行過關於畀歐洲實體存取Claude Mythos嘅直接會談」，有媒體更形容呢個情況引發咗「對歐洲大陸強烈嘅網絡安全擔憂」。

Anthropic嘅立場係深思熟慮嘅。該公司表示，Mythos嘅攻擊性網絡安全能力，足以構成限制公眾發布嘅理由，以防止被濫用。佢喺2026年4月已經表明，計劃「好快」就會向歐洲銀行提供存取權。但到咗5月底，都仲未有任何具體協議落實 。

加劇呢種挫敗感嘅，係監管制度嘅現實。歐盟《人工智能法案》第92條，賦予歐盟委員會存取系統性風險AI模型進行評估嘅權力，呢項條文自2025年8月起已經生效。之不過，包括根據第101條處以罰款在內嘅強制執行權力，要到2026年8月2日先生效 。呢個情況意味住，歐盟嘅人工智能辦公室可以要求存取權，但偏偏喺威脅睇落最嚴峻嘅呢段時期，佢哋欠缺一個有力嘅法律工具去逼對方合作。

埃爾德森直接表達咗由此而生嘅困境，暗示歐盟缺乏存取權令網絡安全狀況更加惡劣：歐洲銀行用唔到嗰個能夠揭示自身漏洞嘅工具，而佢哋嘅美國競爭對手就可以積極咁加強防禦 。

下一步會點？

歐洲央行喺5月底發出嘅警告，標誌住AI能力同金融穩定風險交匯嘅一個分水嶺時刻。事件嘅直接後果係，歐元區銀行爭相加快佢哋嘅修補週期，而更廣泛嘅問題仍未解決。Anthropic會唔會喺歐盟8月獲得執法權力之前，就向歐洲開放存取權？銀行之間自願分享情報，能唔能夠有意義咁收窄呢個差距？而最根本嘅問題係，為嗰個以人類速度運行嘅威脅時代而設計嘅金融監管架構，能唔能夠應付到一個AI模型發現同利用漏洞嘅速度，快過機構修補速度嘅世界？

暫時嚟講，歐洲央行嘅指令係毫無懸念嘅：即刻修補，分享你哋知道嘅情報，並且假設威脅已經存在。 用埃爾德森嘅評估嚟講，個鐘已經開始倒數啦。