Claude Mythos di Anthropic: perché fa paura alle banche europee?

Claude Mythos è il nuovo modello di intelligenza artificiale di Anthropic, la società americana che ha creato Claude e che dopo il finanziamento da 65 miliardi di dollari di ieri (28 giugno) è arrivata a valere 965 miliardi, superando così OpenAI. Mythos non è un chatbot qualsiasi: secondo l’azienda, è un sistema capace di ragionare sul codice, cercare vulnerabilità nei software e, in alcuni casi, trasformarle in exploit, cioè in istruzioni tecniche che dimostrano come una falla può essere sfruttata. In parole semplici: Mythos può comportarsi come un super-esperto di cybersicurezza che analizza un programma, trova il punto debole e spiega come correggerlo. Il problema è che la stessa capacità, se usata male, può servire anche per attaccare. Il caso è esploso dopo una fuga di notizie su un documento interno di Anthropic, in cui il modello veniva descritto come un salto di qualità rispetto ai precedenti sistemi della società. L’azienda – i cui sistemi di intelligenza artificiale generativa hanno superato quelli di OpenAI (ne abbiamo parlato qui) – ha poi confermato l’esistenza di Claude Mythos e ha scelto di non renderlo disponibile al pubblico. L’accesso è stato limitato a pochi partner all’interno del “Project Glasswing”, un programma pensato per usare l’AI in modo difensivo, prima che strumenti simili diventino accessibili anche a soggetti meno affidabili. Tra i partner citati ci sono grandi gruppi tecnologici e di cybersecurity come Microsoft, Apple, Google, ma anche banche del calibro di Goldman Sachs, Citigroup e Morgan Stanley.

Trova bug che gli umani impiegano anni a vedere

La forza di Mythos sta nella combinazione tra programmazione, ragionamento e autonomia. Nei test, il modello viene inserito in un ambiente isolato, senza accesso a internet, insieme al software da analizzare. Gli si chiede, per esempio: “trova una vulnerabilità in questo programma”. Da il programma legge il codice, formula ipotesi, prova a verificare se il problema esiste davvero e produce un rapporto tecnico. È un passaggio importante: fino a oggi trovare falle gravi richiedeva team di specialisti, tempo e molta esperienza. Con modelli come Mythos, la ricerca può diventare molto più veloce. Secondo Anthropic, il nuovo modello di AI avrebbe già individuato migliaia di vulnerabilità nei principali sistemi operativi e browser. In uno degli ultimi aggiornamenti, la società parla di oltre 10 mila vulnerabilità ad alta gravità o critiche scoperte insieme ai partner di Project Glasswing. Alcune sarebbero rimaste nascoste per anni, perfino decenni. Qui entra in gioco un concetto chiave: le “zero-day”, cioè falle sconosciute anche a chi ha scritto il software. Sono tra le più pericolose perché, finché non vengono scoperte e corrette, nessuno sa davvero di essere esposto.

Perché spaventa banche e regolatori

La paura non nasce dal fatto che Mythos sa trovare errori. Quello, in teoria, è utilissimo. Nasce dal ritmo. Se l’intelligenza artificiale rende quasi automatica la scoperta di falle, le banche devono essere in grado di correggerle con la stessa velocità. Ma il mondo finanziario è complesso: sistemi vecchi e nuovi convivono, i servizi devono restare sempre attivi, ogni aggiornamento va testato per evitare blocchi a pagamenti, conti correnti, carte e piattaforme online. Frank Elderson, vicepresidente del Consiglio di vigilanza della Bce, ha riassunto bene il punto: con l’AI una vulnerabilità corretta da una patch potrebbe essere ricostruita “non in settimane, ma forse in 30 minuti”. Tradotto: quando un fornitore pubblica un aggiornamento di sicurezza, un attaccante potrebbe capire molto rapidamente quale falla correggesse e colpire chi non ha ancora installato gli aggiornamenti. Per questo, secondo Elderson, le banche devono avere processi molto più rapidi di quelli oggi considerati normali. C’è poi un secondo rischio: Mythos sarebbe bravo a collegare piccole falle tra loro. Una vulnerabilità da sola può sembrare poco grave. Ma se un sistema riesce a metterne insieme tre, quattro o cinque, il risultato può diventare un attacco serio. Alex Zenla, direttore tecnico di Edera, ha definito Mythos “una minaccia reale”.

La risposta dell’Europa: correre

La Bce ha convocato le banche dell’area martedì 26 maggio, con l’obiettivo di discutere i rischi cyber legati ai nuovi modelli di AI e spingere gli istituti ad accelerare le difese. Al tavolo sono state invitate anche le banche statunitensi coinvolte in Project Glasswing, nella speranza che condividano le lezioni apprese dai test su Mythos. Il punto politico è delicato: alcune grandi banche Usa hanno avuto accesso al modello come parte di “Project Glasswing”, il programma di anteprima nell’utilizzo della piattaforma, mentre quelle europee no. Anche i tre maggiori istituti giapponesi dovrebbero ottenere il via libera, mentre l’Europa rischia di restare indietro. La Bce non vuole aspettare. Elderson ha detto che la mancanza di accesso a Mythos “non è una scusa per l’inazione”. In pratica, Francoforte chiede agli istituti di rafforzare subito i controlli, accelerare l’installazione degli aggiornamenti, trattare anche le falle minori come potenzialmente urgenti e prepararsi a un mondo in cui gli attacchi informatici possono essere generati “alla velocità degli algoritmi”. L’AI è già entrata tra le priorità della vigilanza bancaria europea per il triennio 2026-2028, con workshop e controlli mirati non solo sulla cybersicurezza, ma anche sull’esposizione finanziaria verso data center, fornitori tecnologici e infrastrutture digitali. Il paradosso di Mythos è tutto qui: può essere una minaccia, ma anche una grande occasione. Se usato dai difensori, può aiutare a scoprire e correggere bug prima che diventino attacchi. Se finisce nelle mani sbagliate, può abbassare la soglia d’ingresso per hacker e gruppi criminali.

Credits: immagine generata con Chatgpt