導火線：Anthropic 的 Claude Mythos Preview

這場監管風暴的核心是 Anthropic 的 Claude Mythos Preview 模型 。該模型並未公開釋出，而是僅限於一個名為「Project Glasswing」的審核夥伴計畫，約 40 家「關鍵」科技與金融公司（包括多家華爾街大型銀行）可用於防禦性網路安全測試 。然而，該模型展現的能力已對全球金融監管機構產生深遠且立即的影響 。

Mythos 為何構成新穎且系統性的威脅

Claude Mythos Preview 並非單純的漏洞掃描器。它代表了攻擊型 AI 能力的階級躍升，具備作為自主網路操作員的實務技能。

自主執行多階段攻擊。 在英國 AI 安全研究所（AISI）的受控評估中，Mythos Preview 在獲得目標與網路存取權後，能自主對脆弱網路發動多階段攻擊，包括發現並利用安全漏洞——這類任務需要人類專家耗費數天工作 。更驚人的是，它成為首個從頭到尾完成 32 步驟模擬企業網路攻擊的模型，並在 10 次嘗試中成功 3 次達成完全入侵 。

以機器速度發現數千個關鍵漏洞。 Anthropic 自身的測試顯示，該模型「在所有主要作業系統與網頁瀏覽器中發現了數千個高嚴重性漏洞，其中包含零日漏洞——那些軟體供應商尚不知情、也無修補程式的缺陷」。這從根本上壓縮了漏洞揭露到實際遭利用的傳統時間窗口，對依賴零散、老舊 IT 系統的銀行形成巨大壓力 。

對整體金融體系構成系統性風險。 國際貨幣基金組織（IMF）發出早期預警，指出此類快速移動、AI 驅動的網路風險若未謹慎管理，「可能 destabilise 金融體系」，並敦促當局勿將其視為純技術或營運問題 。外界擔憂 Mythos 或類似模型可能被武器化，對相互連結的金融基礎設施發動大規模同步攻擊，將網路事件升級為金融穩定危機。

Mythos 指令如何嵌入 ECB 的 2026–2028 監理總體計畫

針對 Mythos 的緊急行動並非孤立的恐慌。這是 ECB 五年來首次將監理優先事項縮減為兩大核心支柱的新框架中，最為積極的早期執法行動 。

該指令直接對應 第二支柱：強化銀行營運韌性與健全 ICT 能力 。這項廣泛任務要求銀行做到以下幾點：

• 完全遵循 DORA，特別是有關 ICT 第三方風險、事件通報及數位營運韌性測試的規定 。
• 解決過去審查中已指出的網路安全與第三方風險管理缺陷 。
• 制定成熟的長期數位策略，納入健全的 AI 治理，包括管理資料品質、模型可解釋性、來自少數非歐盟 AI 供應商的集中風險以及供應商鎖定等議題 。

這場由 Mythos 驅動的會議與指令，代表 ECB 將「AI 風險從技術議題」轉變為「審慎監管議題」，隱含的期望是銀行提出具體、有預算的補救計畫，而非試點方案與原則 。其核心訊息是：在未來三年的監理週期內，銀行能否在嚴重的 AI 驅動網路中斷事件中存活並維持關鍵服務，已不再是技術上的錦上添花——而是衡量其穩健與健全的核心指標。

導火線：Anthropic 的 Claude Mythos Preview

這場監管風暴的核心是 Anthropic 的 Claude Mythos Preview 模型 。該模型並未公開釋出，而是僅限於一個名為「Project Glasswing」的審核夥伴計畫，約 40 家「關鍵」科技與金融公司（包括多家華爾街大型銀行）可用於防禦性網路安全測試 。然而，該模型展現的能力已對全球金融監管機構產生深遠且立即的影響 。

Mythos 為何構成新穎且系統性的威脅

Claude Mythos Preview 並非單純的漏洞掃描器。它代表了攻擊型 AI 能力的階級躍升，具備作為自主網路操作員的實務技能。

自主執行多階段攻擊。 在英國 AI 安全研究所（AISI）的受控評估中，Mythos Preview 在獲得目標與網路存取權後，能自主對脆弱網路發動多階段攻擊，包括發現並利用安全漏洞——這類任務需要人類專家耗費數天工作 。更驚人的是，它成為首個從頭到尾完成 32 步驟模擬企業網路攻擊的模型，並在 10 次嘗試中成功 3 次達成完全入侵 。

以機器速度發現數千個關鍵漏洞。 Anthropic 自身的測試顯示，該模型「在所有主要作業系統與網頁瀏覽器中發現了數千個高嚴重性漏洞，其中包含零日漏洞——那些軟體供應商尚不知情、也無修補程式的缺陷」。這從根本上壓縮了漏洞揭露到實際遭利用的傳統時間窗口，對依賴零散、老舊 IT 系統的銀行形成巨大壓力 。

對整體金融體系構成系統性風險。 國際貨幣基金組織（IMF）發出早期預警，指出此類快速移動、AI 驅動的網路風險若未謹慎管理，「可能 destabilise 金融體系」，並敦促當局勿將其視為純技術或營運問題 。外界擔憂 Mythos 或類似模型可能被武器化，對相互連結的金融基礎設施發動大規模同步攻擊，將網路事件升級為金融穩定危機。

Mythos 指令如何嵌入 ECB 的 2026–2028 監理總體計畫

針對 Mythos 的緊急行動並非孤立的恐慌。這是 ECB 五年來首次將監理優先事項縮減為兩大核心支柱的新框架中，最為積極的早期執法行動 。

該指令直接對應 第二支柱：強化銀行營運韌性與健全 ICT 能力 。這項廣泛任務要求銀行做到以下幾點：

• 完全遵循 DORA，特別是有關 ICT 第三方風險、事件通報及數位營運韌性測試的規定 。
• 解決過去審查中已指出的網路安全與第三方風險管理缺陷 。
• 制定成熟的長期數位策略，納入健全的 AI 治理，包括管理資料品質、模型可解釋性、來自少數非歐盟 AI 供應商的集中風險以及供應商鎖定等議題 。

這場由 Mythos 驅動的會議與指令，代表 ECB 將「AI 風險從技術議題」轉變為「審慎監管議題」，隱含的期望是銀行提出具體、有預算的補救計畫，而非試點方案與原則 。其核心訊息是：在未來三年的監理週期內，銀行能否在嚴重的 AI 驅動網路中斷事件中存活並維持關鍵服務，已不再是技術上的錦上添花——而是衡量其穩健與健全的核心指標。