Mythos trova migliaia di vulnerabilità nel software dell'infrastruttura bancaria globale: 40 organizzazioni le conoscono e mettono in sicurezza i sistemi

Cos’è successo

Andrew Bailey, governatore della Bank of England e presidente del Financial Stability Board, ha chiesto ad Anthropic un briefing sulle vulnerabilità che Mythos ha identificato nell'infrastruttura digitale globale; nelle prossime settimane l'azienda incontrerà ministri delle finanze e banche centrali dei G20. La premessa l'aveva già anticipata Bailey, settimane prima, alla Columbia University: Anthropic, aveva detto, “potrebbe aver trovato il modo di spalancare le porte del rischio cyber”.

Mythos ha trovato migliaia di vulnerabilità ad alta gravità nei principali sistemi operativi e browser; l'accesso al modello è stato limitato a circa quaranta organizzazioni — per lo più americane — su richiesta della Casa Bianca.

Perché conta

Coinvolgere il Financial Stability Board — il watchdog delle regole finanziarie G20 — traduce la minaccia di Mythos nel rischio sistemico, e l'FMI ha messo in parole quello che si intuiva già: i modelli frontier elevano il rischio cyber a potenziale shock macro-finanziario. Le vulnerabilità di Mythos riguardano il software su cui poggia l'infrastruttura bancaria globale — quella che, per sua natura, vive su codice legacy;

• Tra i membri dell'FSB c'è anche la Cina, con tutti i G20. Per volere di Washington, Mythos rimane però distribuito a una quarantina di organizzazioni per lo più statunitensi. E, naturalmente, chi ha accesso patcha proattivamente. Gli altri aspettano;
• L'FMI ha avvertito che i Paesi emergenti, con risorse più limitate, sono i più esposti; perimetro che Project Glasswing ignora interamente. Tra i regolatori cresce lo scetticismo che il contesto geopolitico consenta una risposta coordinata, ed è difficile dargli torto quando lo strumento che misura il rischio appartiene a una sola parte;
• L'FSB pubblicerà il proprio report sulle "sound practices" per l'AI nel settore finanziario tra un mese, con il briefing di Anthropic già arrivato. Un po’ come per gli export control, insomma, ci si presenterà al tavolo mentre le regole sono ancora in bozza.

Adesso

• Il report dell'FSB esce per consultazione il mese prossimo, e quanto Anthropic condividerà nel briefing contribuirà a definirne il perimetro: chi riceve una sola lettura dei rischi tenderebbe ad adottarne anche le categorie;
• Anthropic ha già accettato briefing per la Commissione Europea, e quello all'FSB è un passo in più, benché ancora lontano dall'accesso al modello. Ogni settimana senza patch è una settimana in cui le vulnerabilità note a chi ha Mythos non lo sono a chi gestisce l'infrastruttura bancaria del resto del mondo;
• Che una risposta coordinata sia improbabile è già il consenso tra i regolatori. Il quadro realistico è probabilmente meno drammatico e più cronico: due regimi paralleli, uno con accesso ai modelli di frontiera e uno senza, che divergono silenziosamente nella propria resilienza al rischio cyber. Il confine non coincide con quello tra democrazie e autocrazie — passa anche all'interno del G20.