Perché Claude Mythos Preview è un campanello d'allarme per Wall Street

Claude Mythos Preview di Anthropic non è stato progettato per scegliere azioni, fare analisi del credito o assistere nelle operazioni di trading.

Il modello opera in un ambito più scomodo dell'intelligenza artificiale: la sicurezza informatica.

Anthropic afferma che Mythos può individuare e sfruttare vulnerabilità software precedentemente sconosciute nei principali sistemi operativi e browser.

Per banche, gestori patrimoniali, assicuratori, borse e società di pagamento, questa affermazione riguarda una sfera molto più sensibile della semplice produttività.

La finanza si basa su software condivisi, fornitori cloud, infrastrutture di pagamento, fornitori di dati e sistemi interni vecchi di decenni.

Se un modello di IA può trovare debolezze più velocemente di quanto le istituzioni possano correggerle, il rischio non è più solo un problema tecnologico. Diventa un problema di fiducia nel mercato.

Anthropic non ha presentato Mythos Preview come una release per il pubblico generale.

Il modello è gestito con accesso ristretto, ma ciò che conta per la finanza è la capacità che dimostra: i sistemi di IA stanno diventando più rapidi nell'individuare debolezze software e trasformarle in exploit funzionanti.

Un modello cyber con conseguenze finanziarie

Il primo errore sarebbe trattare Mythos come un'altra IA generica.

A differenza dei chatbot destinati ai consumatori o degli assistenti IA attualmente sperimentati per ricerca, compliance e servizio clienti, Mythos conta per via di ciò che suggerisce sulla prossima fase della scoperta di vulnerabilità a velocità macchina.

Anthropic ha dichiarato che i test del red team hanno rilevato che Mythos Preview, se guidato da un utente, potrebbe identificare e sfruttare vulnerabilità zero-day in ogni principale sistema operativo e in ogni principale browser web.

Sarebbe significativo in qualsiasi settore, ma per la finanza è particolarmente serio.

Le banche non gestiscono solo siti web e app. Mantengono vasti patrimoni tecnologici che includono sistemi core banking, piattaforme di trading, gateway di pagamento, motori di rischio, database clienti, implementazioni cloud e collegamenti con fornitori terzi.

Parte di quell'infrastruttura è moderna, ma gran parte è obsoleta, fortemente personalizzata e difficile da sostituire.

Nelle grandi istituzioni, anche identificare la mappa completa delle dipendenze software può essere una sfida.

Un modello che accelera la scoperta delle vulnerabilità cambia l'equilibrio delle pressioni. I difensori potrebbero essere in grado di trovare i punti deboli prima.

Ma gli aggressori, se acquisissero capacità comparabili, potrebbero comprimere il tempo tra scoperta e sfruttamento.

Questo è il dilemma centrale: Mythos potrebbe rafforzare il sistema finanziario, ma solo se i difensori riescono ad assorbire e agire sulle sue scoperte più rapidamente di quanto gli avversari possano militarizzare strumenti simili.

Quando la previsione diventa più economica

Ajay Agrawal, professore alla Rotman School of Management dell'Università di Toronto e coautore di Prediction Machines e Power and Prediction, ha detto a Invezz che l'impatto degli agenti IA avanzati va visto come uno spostamento nell'economia del processo decisionale, non semplicemente come un modo più economico per produrre analisi.

Questa cornice concettuale è utile per Mythos, anche se la capacità più visibile del modello riguarda il cyber piuttosto che l'analisi degli investimenti.

Se la scoperta delle vulnerabilità diventa più economica, i team di sicurezza si troveranno ad affrontare più rilevamenti, più lavoro di triage e più decisioni su cosa sia più rilevante.

La risorsa scarsa potrebbe non essere più la capacità di individuare un difetto, ma la capacità di giudicare quale difetto abbia la maggiore rilevanza.

In altre parole, il collo di bottiglia del settore finanziario potrebbe spostarsi dalla rilevazione alla responsabilità.

Il problema delle patch è il vero punto critico

Le istituzioni finanziarie già spendono molto in sicurezza informatica, ma la questione è se il loro modello operativo possa reggere in un mondo in cui gli strumenti di IA producono rilevamenti di sicurezza seri a un ritmo molto più rapido.

Trovare una vulnerabilità non significa che il problema sia risolto.

Prima, i team devono verificare se il difetto interessa i loro sistemi. Gli ingegneri devono testarlo, i team di rischio valutare l'esposizione e i responsabili di business devono comprendere se la correzione potrebbe interrompere servizi critici.

I fornitori potrebbero dover rilasciare aggiornamenti e potrebbe essere necessario informare i regolatori. In alcuni casi, anche la patch può creare nuovi rischi operativi.

Quel flusso di lavoro è lento perché la tecnologia bancaria non è un laboratorio pulito. È un sistema vivente che deve rimanere operativo.

La presentazione di Mythos suggerisce un futuro in cui il lato della scoperta nella sicurezza informatica diventa più veloce e meno costoso, mentre la parte della mitigazione rimane vincolata da persone, governance, architetture legacy e aspettative regolamentari.

Le grandi banche possono avere soldi e personale per rispondere rapidamente. Le banche più piccole potrebbero non averli.

I grandi fornitori cloud possono risolvere un problema rapidamente, ma un piccolo vendor che supporta un sistema di back office importante potrebbe impiegare molto più tempo.

Ciò significa che il punto più debole potrebbe non risiedere all'interno della banca stessa. Potrebbe essere presso un fornitore esterno, anche se la banca è quella che subisce il danno reputazionale.

Perché il FMI vede un rischio per la stabilità finanziaria

Il Fondo Monetario Internazionale ha già spinto il dibattito oltre l'igiene informatica aziendale.

Ha avvertito che gli strumenti cyber abilitati all'IA potrebbero aumentare i rischi per la stabilità finanziaria, soprattutto dove le istituzioni dipendono da software comuni e fornitori di servizi condivisi.

Le società finanziarie sono connesse oltre che dai bilanci. Sono connesse tramite sistemi operativi, infrastrutture cloud, sistemi di pagamento, infrastrutture di mercato, reti di messaggistica, flussi di dati e fornitori di software.

Una singola debolezza sfruttata in un componente ampiamente utilizzato può comportarsi meno come un guasto tecnologico locale e più come uno shock comune.

Il pericolo non è solo che una banca venga hackerata. È che molte istituzioni scoprano, nello stesso momento, di condividere la stessa esposizione.

In quello scenario, il rischio cyber può trasformarsi in rischio di liquidità, rischio di mercato e rischio di fiducia.

Esistono comunque delle protezioni: come osserva il FMI, le capacità cyber avanzate basate sull'IA non sono ancora ampiamente disponibili, e il software finanziario chiuso e specifico per settore può essere più difficile da prendere di mira rispetto all'infrastruttura open source.

Ma tali protezioni possono indebolirsi man mano che le capacità si diffondono, i modelli migliorano e gli aggressori imparano a combinare informazioni pubbliche con strumenti automatizzati.

I regolatori stanno passando dalla preoccupazione all'azione

La Banca Centrale Europea si è mossa rapidamente per riportare la resilienza operativa al centro del dibattito bancario.

Frank Elderson, membro del Consiglio esecutivo della BCE e vicepresidente del suo Consiglio di vigilanza, ha avvertito che i modelli IA di frontiera stanno cambiando il panorama delle minacce informatiche abbassando le barriere per gli aggressori e aumentando la velocità di sfruttamento.

La BCE ha anche affermato che le banche hanno bisogno di investimenti pluriennali in persone, sistemi e governance, piuttosto che di una soluzione tecnologica limitata.

Il messaggio di Elderson è stato netto:

Questa distinzione è importante poiché i regolatori non sembrano considerare Mythos un evento di panico, ma una prova che debolezze informatiche di lunga data potrebbero dover essere risolte più rapidamente.

Le banche hanno trascorso anni a costruire framework di resilienza, eseguire stress test cyber e migliorare la risposta agli incidenti.

Ma l'arrivo di modelli che possono trovare e sfruttare le debolezze in modo più efficiente cambia i tempi.

La corsa tra attaccanti e difensori sta diventando asimmetrica

La parte scomoda della vicenda Mythos è che la stessa capacità può avvantaggiare entrambe le parti.

Per i difensori, un modello che può ispezionare il codice, individuare vulnerabilità e aiutare a prioritizzare la mitigazione è prezioso.

Potrebbe aiutare le banche a scandagliare sistemi obsoleti, rivedere codice di terze parti, testare strumenti interni e trovare debolezze prima che lo facciano gli aggressori. Potrebbe anche ridurre la dipendenza da specialisti cyber umani di difficile reperimento.

Ma la cybersecurity non è un confronto a senso unico. Se capacità IA simili si diffondessero oltre poche strutture di laboratorio controllate, gli aggressori potrebbero trarne vantaggio tanto rapidamente quanto i difensori.

A differenza di banche e team di sicurezza, gli aggressori non devono mettere in sicurezza un intero sistema; devono solo trovare un singolo punto d'ingresso debole.

La stessa descrizione di Mythos da parte di Anthropic sottolinea la portata di questa capacità:

"Mythos Preview è in grado di identificare e poi sfruttare vulnerabilità zero-day in ogni principale sistema operativo e in ogni principale browser web."

Ciò non significa che ogni aggressore abbia accesso a Mythos, dato che Anthropic ha inquadrato il modello come ristretto e controllato.

Ma la direzione è abbastanza chiara perché le banche possano pianificare di conseguenza.

Un nuovo premio per il rischio sulle tecnologie obsolete

Mythos non rende la finanza insicura dall'oggi al domani, dato che il settore resta una delle parti dell'economia globale più regolamentate e attente al cyber.

Le banche hanno investito molto in sicurezza, e molte già utilizzano l'IA per rilevare frodi, monitorare le minacce e proteggere i clienti.

Tuttavia, il modello è un avvertimento sulla velocità.

La finanza è diventata più digitale, più esternalizzata e più interconnessa, e sebbene ciò abbia reso il sistema efficiente, ha anche creato punti di falla condivisi.

Se l'IA comprime il tempo necessario per trovare e sfruttare le debolezze, allora i vecchi cicli di patching, i processi lenti dei fornitori e la responsabilità frammentata diventano più pericolosi.

I vincitori non saranno semplicemente le imprese con accesso al miglior modello. Saranno quelli che riusciranno a trasformare una scoperta più rapida in decisioni più rapide e sicure.

Per Wall Street e per il sistema finanziario nel suo complesso, Mythos non è quindi solo una storia cyber. È una storia sulla trasformazione della resilienza operativa in resilienza finanziaria.

In un mercato fondato sulla fiducia, la capacità di rimanere operativi sotto stress digitale può diventare importante tanto quanto la capacità di assorbire perdite in bilancio.