這次監管風暴的核心,是 Anthropic 的 Claude Mythos Preview 模型 。該模型並未對外公開,Anthropic 將其限制在一個名為「Project Glasswing」的受審核合作夥伴計劃中,僅供約 40 家「關鍵」科技和金融公司(包括多家華爾街大行)用於防禦性網絡安全測試 。儘管限制嚴格,但該模型展現出的能力,已對全球金融監管機構產生深遠且即時的影響 。
Claude Mythos Preview 並非一個狹義的漏洞掃描器。它代表了攻擊型 AI 能力的階段性轉變,具備擔任自主網絡操作員的實質能力。
自主執行多階段攻擊。 在英國 AI 安全研究所(AISI)的受控評估中,Mythos Preview 在被給予目標和網絡存取權限後,能夠自主對脆弱網絡執行多階段攻擊,包括發現和利用安全漏洞——這些工作需要人類專業人員花費數天時間才能完成 。更驚人的是,它成為首個能從頭到尾完成 32 步模擬企業網絡攻擊的模型,在 10 次嘗試中有 3 次成功完全入侵 。
以機器速度發現數千個關鍵漏洞。 Anthropic 自身的測試顯示,該模型發現了「數千個高嚴重性漏洞,包括每個主要操作系統和網頁瀏覽器中的漏洞」。該模型能夠在人類防禦者意識到之前,發現並利用零日漏洞——即軟體供應商尚不知情、也無修補程式的漏洞 。這從根本上縮短了從漏洞揭露到實際被利用的傳統時間窗口,對依賴分散、數十年歷史 IT 系統的銀行構成巨大壓力 。
對整個金融體系構成系統性風險。 國際貨幣基金組織(IMF)發出早期警告,指出此類快速移動、由 AI 驅動的網絡風險若未能謹慎管理,「可能會破壞金融體系的穩定」,並敦促當局不要將這些發展視為純粹的技術或營運問題 。外界擔憂,Mythos 或類似模型可能被武器化,對相互關聯的金融基礎設施發動大規模同步攻擊,將網絡事件轉變為金融穩定危機。
針對 Mythos 的緊急行動並非孤立的恐慌。這是 ECB 全新精簡的 2026-2028 年監管優先事項中,最嚴厲的早期執法行動。該框架五年來首次將重點縮減為兩大核心支柱 。
這項指令完全屬於優先事項二:加強銀行的營運韌性並培養強大的 ICT 能力 。這項優先事項是一項廣泛授權,期望銀行做到以下幾點:
這次由 Mythos 驅動的會議和指令,標誌著 ECB 將「AI 風險作為技術議題」轉變為「AI 風險作為審慎監管議題」,其隱含期望是銀行需要提出具體、有資金支持的補救計劃,而不是試點項目和原則 。潛在訊息是:在這個三年週期內,銀行能否在嚴重的、由 AI 驅動的網絡攻擊中生存下來並維持關鍵服務,不再是一個技術上的細節問題——而是衡量其安全與穩健的核心標準。
這次監管風暴的核心,是 Anthropic 的 Claude Mythos Preview 模型 。該模型並未對外公開,Anthropic 將其限制在一個名為「Project Glasswing」的受審核合作夥伴計劃中,僅供約 40 家「關鍵」科技和金融公司(包括多家華爾街大行)用於防禦性網絡安全測試 。儘管限制嚴格,但該模型展現出的能力,已對全球金融監管機構產生深遠且即時的影響 。
Claude Mythos Preview 並非一個狹義的漏洞掃描器。它代表了攻擊型 AI 能力的階段性轉變,具備擔任自主網絡操作員的實質能力。
自主執行多階段攻擊。 在英國 AI 安全研究所(AISI)的受控評估中,Mythos Preview 在被給予目標和網絡存取權限後,能夠自主對脆弱網絡執行多階段攻擊,包括發現和利用安全漏洞——這些工作需要人類專業人員花費數天時間才能完成 。更驚人的是,它成為首個能從頭到尾完成 32 步模擬企業網絡攻擊的模型,在 10 次嘗試中有 3 次成功完全入侵 。
以機器速度發現數千個關鍵漏洞。 Anthropic 自身的測試顯示,該模型發現了「數千個高嚴重性漏洞,包括每個主要操作系統和網頁瀏覽器中的漏洞」。該模型能夠在人類防禦者意識到之前,發現並利用零日漏洞——即軟體供應商尚不知情、也無修補程式的漏洞 。這從根本上縮短了從漏洞揭露到實際被利用的傳統時間窗口,對依賴分散、數十年歷史 IT 系統的銀行構成巨大壓力 。
對整個金融體系構成系統性風險。 國際貨幣基金組織(IMF)發出早期警告,指出此類快速移動、由 AI 驅動的網絡風險若未能謹慎管理,「可能會破壞金融體系的穩定」,並敦促當局不要將這些發展視為純粹的技術或營運問題 。外界擔憂,Mythos 或類似模型可能被武器化,對相互關聯的金融基礎設施發動大規模同步攻擊,將網絡事件轉變為金融穩定危機。
針對 Mythos 的緊急行動並非孤立的恐慌。這是 ECB 全新精簡的 2026-2028 年監管優先事項中,最嚴厲的早期執法行動。該框架五年來首次將重點縮減為兩大核心支柱 。
這項指令完全屬於優先事項二:加強銀行的營運韌性並培養強大的 ICT 能力 。這項優先事項是一項廣泛授權,期望銀行做到以下幾點:
這次由 Mythos 驅動的會議和指令,標誌著 ECB 將「AI 風險作為技術議題」轉變為「AI 風險作為審慎監管議題」,其隱含期望是銀行需要提出具體、有資金支持的補救計劃,而不是試點項目和原則 。潛在訊息是:在這個三年週期內,銀行能否在嚴重的、由 AI 驅動的網絡攻擊中生存下來並維持關鍵服務,不再是一個技術上的細節問題——而是衡量其安全與穩健的核心標準。