C’è un modello di intelligenza artificiale che la maggior parte delle banche europee non può ancora usare, ma dal quale si deve già difendere. Claude Mythos Preview, sviluppato da Anthropic e accessibile finora solo a un gruppo selezionato di organizzazioni negli Stati Uniti e nel Regno Unito, identifica e sfrutta vulnerabilità informatiche critiche a una velocità che ha ridisegnato il perimetro del rischio sistemico. Ad aprile Washington aveva convocato i vertici del sistema bancario americano, ora a far scattare l’allarme è la Bce, che ha già sollecitato gli istituti dell’area euro ad agire con urgenza. Intanto il Giappone si appresta a ottenere l’accesso entro fine maggio.
In questo articolo:
- Mythos, la Bce alza l’allarme
- L’AI di Anthropic spaventa anche Fed e Tesoro
- Il Giappone entra nel perimetro Mythos: accesso entro fine maggio
Mythos, la Bce alza l’allarme
Frank Elderson (nella foto), membro dell’Executive Board e vicepresidente del Supervisory Board della Bce, intervenuto nella Supervision Newsletter dell’istituto, ha definito Mythos Preview non un miglioramento incrementale rispetto agli strumenti esistenti, ma “una vera e propria rivoluzione nella sicurezza informatica”. Elderson ha identificato tre caratteristiche che distinguono il modello da qualsiasi sistema precedente. In primo luogo, la capacità di individuare e sfruttare autonomamente le vulnerabilità con una velocità e una portata di gran lunga superiori a quelle finora raggiunte. In secondo luogo, la facoltà di combinare in tempi rapidi vulnerabilità apparentemente minori in attacchi di vasta portata, operazioni che in precedenza richiedevano team di esperti e diversi giorni di lavoro. In terzo luogo, la possibilità di decodificare le patch trasformandole in vulnerabilità sfruttabili a una velocità senza precedenti, riducendo a poche ore — o meno — attacchi che prima richiedevano settimane.
Il vicepresidente del Supervisory Board ha insistito sul carattere immediato della minaccia, definendola una situazione urgente e non uno scenario lontano, e ha avvertito che il lasso di tempo prima che queste capacità diventino più ampiamente accessibili è incerto, probabilmente breve, forse brevissimo. Ha inoltre ricordato che la sfida non si esaurisce con Mythos: a livello strutturale, le banche devono essere in grado di gestire modelli futuri sempre più potenti, che potrebbero essere rilasciati in rapida successione. Riguardo alla posizione europea, Elderson ha riconosciuto che le banche dell’area euro non hanno attualmente accesso a Mythos (al momento la piattaforma è stata resa disponibile a un numero limitato di organizzazioni negli Stati Uniti e nel Regno Unito) ma ha escluso che questa circostanza possa “giustificare l’inazione”. Gli istituti sono chiamati a raddoppiare gli sforzi per l’identificazione delle vulnerabilità, anche minori, usando gli strumenti di intelligenza artificiale già disponibili, e a modificare l’approccio alla loro correzione: le falle un tempo considerate non prioritarie devono essere trattate come urgenti e risolte immediatamente.
L’AI di Anthropic spaventa anche Fed e Tesoro
A inizio aprile, il Segretario al Tesoro Scott Bessent e il presidente della Federal Reserve Jerome Powell avevano riunito i vertici delle principali banche americane per una sessione dedicata ai rischi di cybersicurezza associati a Mythos Preview. L’obiettivo era garantire che le istituzioni finanziarie fossero consapevoli della natura delle minacce poste dal modello e stessero adottando misure concrete per proteggere i propri sistemi. Il nodo centrale è la capacità di Mythos Preview di identificare vulnerabilità zero-day — falle sconosciute e non ancora corrette — in sistemi software critici, con una profondità e una velocità mai registrate prima. Nelle settimane precedenti al rilascio, il modello ha individuato migliaia di falle, molte delle quali classificate come critiche.
Anthropic ha dichiarato che il modello è in grado di identificare e sfruttare vulnerabilità in tutti i principali sistemi operativi e in tutti i principali browser. È proprio l’ampiezza di questa capacità, potenzialmente accessibile ad attori non autorizzati, a essere alla base dell’allarme regolatorio. Il rilascio è avvenuto nell’ambito del progetto Glasswing, un programma a distribuzione controllata pensato per dare al sistema finanziario e tecnologico il tempo di rafforzare le proprie difese prima che capacità analoghe diventino accessibili su larga scala. L’accesso è stato limitato a circa 50 organizzazioni a livello globale, tra cui aziende statunitensi, banche americane e agenzie governative britanniche. Anthropic ha confermato di essere in dialogo con funzionari del governo statunitense riguardo alle implicazioni sia offensive sia difensive del modello, e una terza fonte ha attestato che la società aveva informato preventivamente alti funzionari governativi e principali stakeholder del settore prima del rilascio.
Il Giappone entra nel perimetro Mythos: accesso entro fine maggio
Secondo quanto riportato dal quotidiano economico Nikkei, MUFG Bank, Sumitomo Mitsui Banking Corp e Mizuho Bank riceveranno l’accesso a Mythos Preview già a partire dalla fine di maggio. La decisione sarebbe stata comunicata alle tre banche direttamente da Scott Bessent nel corso degli incontri a Tokyo tenutisi martedì, e rappresenterebbe la prima apertura del programma a organizzazioni giapponesi.
Tokyo aveva esercitato pressioni su Washington per ottenere l’accesso in un contesto di crescente attenzione nazionale ai rischi legati ai sistemi di intelligenza artificiale più avanzati: il Primo Ministro Sanae Takaichi aveva già incaricato i ministri di rafforzare le attività di identificazione delle vulnerabilità nelle infrastrutture del Paese. Secondo il Nikkei, l’accesso a Mythos sarebbe stato con ogni probabilità oggetto di discussione anche nel corso dell’incontro bilaterale tra Takaichi e Bessent.
