Hvorfor Claude Mythos Preview er en vekker for Wall Street

Anthropic’s Claude Mythos Preview var ikke ment å være en aksjeplukker, en kredittanalytiker eller en handelsassistent.

Modellen befinner seg i et mer ubehagelig hjørne av kunstig intelligens: cybersikkerhet.

Anthropic sier at Mythos kan identifisere og utnytte tidligere ukjente programvaresårbarheter i alle store operativsystemer og nettlesere.

For banker, kapitalforvaltere, forsikringsselskaper, børser og betalingsleverandører treffer denne påstanden et langt mer følsomt område enn produktivitet.

Finanssektoren er avhengig av felles programvare, skytjenesteleverandører, betalingsinfrastruktur, dataleverandører og tiårgamle interne systemer.

Hvis en AI-modell kan finne svakheter raskere enn institusjonene kan tette dem, er risikoen ikke lenger bare et teknologiproblem. Den blir et tillitsproblem i markedet.

Anthropic har ikke presentert Mythos Preview som en generell offentlig lansering.

Modellen håndteres via begrenset tilgang, men det som betyr noe for finans er evnen den demonstrerer: AI-systemer blir raskere til å finne og gjøre programvaresvakheter om til fungerende utnyttelser.

En cybermodell med finansielle konsekvenser

Den første feilen ville være å behandle Mythos som en annen allmenn AI.

I motsetning til forbrukerrettede chatboter eller AI-assistenter som nå testes for forskning, compliance og kundeservice, er Mythos viktig på grunn av hva det antyder om neste fase av hurtig, maskinell sårbarhetsoppdagelse.

Anthropic har sagt at deres red-team-testing fant at Mythos Preview kunne identifisere og utnytte zero-day-sårbarheter i hvert større operativsystem og i alle større nettlesere når den ble styrt av en bruker.

Det ville være slående i enhver bransje, men for finans er det særlig skarpt.

Banker driver ikke bare nettsteder og apper. De forvalter enorme teknologimiljøer som inkluderer kjernebanksystemer, handelsplattformer, betalingsgatewayer, risikomotorer, kundedatabaser, skyløsninger og tredjepartsleverandørkoblinger.

Noe av denne infrastrukturen er moderne, men mye av den er gammel, sterkt tilpasset og vanskelig å erstatte.

I store institusjoner kan selv det å identifisere hele kartet over programvareavhengigheter være en utfordring.

En modell som akselererer sårbarhetsoppdagelse endrer trykkforholdet. Forsvarere kan kanskje finne svake punkter tidligere.

Men angripere, hvis de oppnår tilsvarende kapasiteter, kan klare å komprimere tiden mellom oppdagelse og utnyttelse.

Det er det sentrale dilemmaet: Mythos kan styrke det finansielle systemet, men bare hvis forsvarere kan absorbere og handle på funnene raskere enn motparter kan weaponisere lignende verktøy.

Når prediksjon blir billigere

Ajay Agrawal, professor ved University of Torontos Rotman School of Management og medforfatter av Prediction Machines og Power and Prediction, fortalte Invezz at virkningen av avanserte AI-agenter bør ses som et skifte i økonomien for beslutningstaking, ikke bare som en billigere måte å produsere analyser på.

Den rammingen er nyttig for Mythos, selv om modellens mest synlige kapasitet er cyber snarere enn investeringsanalyse.

Hvis sårbarhetsoppdagelse blir billigere, vil sikkerhetsteam få flere funn, mer triageringsarbeid og flere beslutninger om hva som betyr mest.

Den knappeste ressursen kan ikke lenger være evnen til å oppdage en feil, men evnen til å vurdere hvilken feil som betyr mest.

Med andre ord kan flaskehalsen i finanssektoren flytte seg fra deteksjon til ansvar.

Problemet med patching er det virkelige trykkpunktet

Finansinstitusjoner bruker allerede mye på cybersikkerhet, men spørsmålet er om deres driftsmodell kan holde tritt med en verden der AI-verktøy produserer alvorlige sikkerhetsfunn i et mye raskere tempo.

Å finne en sårbarhet betyr ikke at problemet er løst.

Først må teamene sjekke om feilen påvirker deres systemer. Ingeniører må teste den, risikoteam må vurdere eksponeringen, og forretningsansvarlige må forstå om en fiksering kan forstyrre kritiske tjenester.

Leverandører kan også måtte utgi oppdateringer, og regulatorer kan måtte informeres. I noen tilfeller kan selve patchen skape nye driftsrisikoer.

Den arbeidsflyten er treg fordi bankteknologi ikke er et rent laboratorium. Det er et levende system som må være online.

Avdukingen av Mythos antyder en framtid der oppdagelsessiden av cybersikkerhet blir raskere og billigere, mens utbedringssiden fortsatt begrenses av mennesker, styring, gammel arkitektur og regulatoriske forventninger.

Store banker kan ha penger og personell til å svare raskt. Mindre banker kan mangle det.

Store skyleverandører kan kanskje rette et problem raskt, men en liten leverandør som støtter et viktig back-office-system kan bruke mye lengre tid.

Det betyr at det svakeste punktet kanskje ikke ligger inne i banken selv. Det kan ligge hos en ekstern leverandør, selv om banken er den som får omdømmeskaden.

Hvorfor IMF ser en risiko for finansiell stabilitet

Det internasjonale pengefondet har allerede løftet debatten utover bedriftsmessig cyberhygiene.

Det har advart om at AI-aktiverte cyberverktøy kan øke risikoen for finansiell stabilitet, særlig der institusjoner er avhengige av felles programvare og delte tjenesteleverandører.

Finansselskapene er koblet sammen gjennom mer enn balanseposter. De er koblet gjennom operativsystemer, skyinfrastruktur, betalingssystemer, markedsinfrastrukturer, meldingsnettverk, datafeeds og programvareleverandører.

En enkelt utnyttet svakhet i en mye brukt komponent kan derfor oppføre seg mindre som en lokal teknologifeil og mer som et felles sjokk.

Faren er ikke bare at én bank blir hacket. Den er at mange institusjoner oppdager, på samme tidspunkt, at de deler samme eksponering.

I et slikt scenario kan cyberrisiko bli likviditetsrisiko, markedsrisiko og tillitsrisiko.

Det finnes fortsatt buffere, ettersom IMF bemerker at avanserte AI-cyberkapasiteter ennå ikke er allment tilgjengelige, og lukket, bransjespesifikk finansprogramvare kan være vanskeligere å angripe enn åpen kildekode-infrastruktur.

Men disse beskyttelsene kan svekkes etter hvert som kapasiteter sprer seg, modeller forbedres, og angripere lærer seg å kombinere offentlig informasjon med automatiserte verktøy.

Regulatorer går fra bekymring til handling

Den europeiske sentralbanken har handlet raskt for å sette operasjonell motstandskraft tilbake i sentrum av bankdebatten.

Frank Elderson, medlem av ECBs direksjon og visestyrer i dens tilsynsråd, har advart om at grensesprengende AI-modeller endrer trussellandskapet ved å senke terskler for angripere og øke hastigheten på utnyttelse.

ECB har også sagt at bankene trenger flerårige investeringer i personell, systemer og styring, heller enn en snever teknologisk løsning.

Eldersons budskap var krystallklart:

Den distinksjonen er viktig, ettersom regulatorer ikke ser ut til å behandle Mythos som en panikkhendelse, men som bevis på at langvarige cyber-svakheter kan måtte utbedres raskere.

Bankene har brukt år på å bygge motstandsdyktighetsrammeverk, kjøre cyber-stresstester og forbedre hendelseshåndtering.

Men ankomsten av modeller som kan finne og utnytte svakheter mer effektivt endrer tidsskjemaet.

Kappløpet mellom angriper og forsvarer blir asymmetrisk

Den ubehagelige delen av Mythos-historien er at den samme kapasiteten kan hjelpe begge sider.

For forsvarere er en modell som kan inspisere kode, finne sårbarheter og hjelpe til med prioritering av utbedring verdifull.

Den kan hjelpe banker med å skanne gamle systemer, gjennomgå tredjepartskode, teste interne verktøy og finne svakheter før angripere gjør det. Den kan også redusere avhengigheten av knappe menneskelige cyberspesialister.

Men cybersikkerhet er ikke en enveis konkurranse. Hvis tilsvarende AI-kapasiteter sprer seg utover et par kontrollerte laboratorier, kan angripere dra nytte like raskt som forsvarere.

I motsetning til banker og sikkerhetsteam trenger ikke angripere å sikre et helt system; de trenger bare å finne ett svakt inngangspunkt.

Anthropics egen beskrivelse av Mythos understreker betydningen av kapasiteten:

“Mythos Preview is capable of identifying and then exploiting zero-day vulnerabilities in every major operating system and every major web browser.”

Det betyr ikke at enhver angriper har tilgang til Mythos, ettersom Anthropic har rammet inn modellen som begrenset og kontrollert.

Men retningen er tydelig nok til at banker kan planlegge rundt den.

En ny risikopremie for gammel teknologi

Mythos gjør ikke finans umiddelbart usikkert, ettersom sektoren fortsatt er en av de mest regulerte og cyberbevisste delene av verdensøkonomien.

Banker har brukt mye på sikkerhet, og mange bruker allerede AI for å oppdage svindel, overvåke trusler og beskytte kunder.

Likevel er modellen en advarsel om tempo.

Finans har blitt mer digital, mer outsourcet og mer sammenkoblet, og mens det har gjort systemet effektivt, har det også skapt felles feilstedpunkter.

Hvis AI komprimerer tiden det tar å finne og utnytte svakheter, blir gamle patch-sykluser, trege leverandørprosesser og fragmentert ansvar mer farlig.

Vinnerne vil ikke bare være de selskapene som har tilgang til den beste modellen. De vil være dem som klarer å gjøre raskere oppdagelse om til raskere, tryggere beslutninger.

For Wall Street og det bredere finansielle systemet er Mythos derfor ikke bare en cyber-historie. Det er en historie om at operasjonell motstandskraft blir finansielle motstandskraft.

I et marked bygget på tillit kan evnen til å holde driften gående under digitalt press bli like viktig som evnen til å absorbere tap i en balanse.