Un modello di intelligenza artificiale così avanzato da non poter essere reso pubblico. Questo è Claude Mythos, il sistema sviluppato da Anthropic che ha convinto la Banca Centrale Europea a convocare una riunione straordinaria con le maggiori banche del continente fissata per il 26 maggio 2026. Al centro della preoccupazione c’è la capacità di Mythos di individuare vulnerabilità critiche nei sistemi informatici bancari in modo automatico e con una velocità senza precedenti, aprendo scenari di rischio che il settore finanziario europeo non ha ancora gli strumenti per affrontare.

La notizia è diventata pubblica nella settimana del 24 maggio e ha rapidamente scalato le priorità dell’agenda della supervisione bancaria europea, coinvolgendo direttamente i vertici della BCE e i responsabili IT dei principali istituti di credito del continente.

Cosa rende Claude Mythos diverso dai modelli precedenti

Annunciato il 7 aprile 2026, Claude Mythos è un modello di intelligenza artificiale di nuova generazione che Anthropic non ha reso disponibile al pubblico. La ragione è esplicitamente legata alla sua potenza: Mythos è in grado di analizzare le patch software — i frammenti di codice rilasciati dai produttori per correggere vulnerabilità nei sistemi — e risalire al problema originario in meno di mezz’ora.

Questa capacità è il cuore del problema per il settore bancario. Quando un produttore di software pubblica una patch di sicurezza, il documento descrive indirettamente la vulnerabilità che corregge. Un attore malevolo in possesso di un sistema come Mythos potrebbe analizzare quella patch, risalire alla falla sottostante e sfruttarla prima che le banche abbiano avuto il tempo di installare l’aggiornamento. Il tutto in meno di trenta minuti: un lasso di tempo troppo breve perché i team di cybersecurity possano mettere al sicuro le infrastrutture.

L’accesso limitato e il divario europeo

Anthropic ha scelto una strategia di deployment estremamente controllata per Mythos. L’accesso al modello è stato concesso a un numero limitato di organizzazioni, principalmente statunitensi, nell’ambito di un programma di test denominato “Project Glasswing”. L’Europa resta fuori da questo perimetro, il che significa che le banche e le istituzioni finanziarie del continente si trovano in una posizione asimmetrica: devono difendersi da un potenziale strumento offensivo a cui non hanno accesso e che non possono studiare direttamente.

Questo divario di accesso è uno dei punti che la BCE intende affrontare nella riunione del 26 maggio. L’obiettivo dichiarato è spingere le banche europee ad accelerare le contromisure, e sollecitare gli istituti statunitensi — che hanno già accesso alle tecnologie più avanzate — a condividere informazioni con i colleghi europei nell’ambito dei meccanismi di cooperazione internazionale sulla cybersecurity.

La riunione della BCE: cosa è sul tavolo

La riunione convocata dalla Banca Centrale Europea per il 26 maggio ha carattere di urgenza e verte su un ordine del giorno preciso: alzare l’allerta sul rischio che Claude Mythos rappresenta per le infrastrutture IT bancarie, e definire le misure da adottare nel breve periodo.

Tra i temi in discussione ci sono il rafforzamento dei processi di patch management, ovvero le procedure con cui le banche installano gli aggiornamenti di sicurezza. In un contesto in cui un modello AI può sfruttare una vulnerabilità in meno di trenta minuti dalla pubblicazione della patch, i cicli di aggiornamento settimanali o mensili attualmente in uso da molti istituti risultano strutturalmente inadeguati. Il tema del “tempo di patch” è già stato segnalato dalla stessa BCE come uno dei nodi critici della cybersecurity bancaria europea.

Sul tavolo c’è anche la questione della condivisione delle informazioni tra istituzioni finanziarie. In Europa esistono già meccanismi di cooperazione in materia di cybersecurity, ma il ritmo con cui evolvono le capacità offensive dei sistemi AI richiede aggiornamenti più rapidi dei protocolli di intelligence condivisa.

Il contesto: l’AI come strumento offensivo nella cybersecurity

Il caso di Claude Mythos non è un fatto isolato, ma il punto più visibile di una tendenza che preoccupa da tempo la comunità della cybersecurity. I modelli di intelligenza artificiale avanzati possono essere impiegati per accelerare e automatizzare attività offensive che tradizionalmente richiedevano expertise umana specializzata e tempi di lavoro significativi.

Tra le applicazioni più preoccupanti ci sono l’individuazione automatizzata di vulnerabilità nei software, la generazione di codice malevolo personalizzato, il social engineering basato su messaggi generati dall’AI, e proprio l’analisi rapida delle patch per identificare le falle prima che vengano corrette. Anthropic ha riconosciuto esplicitamente queste potenzialità nel non rendere pubblico Mythos, applicando un principio di sicurezza per design.

Il settore bancario è particolarmente esposto per due ragioni. La prima è strutturale: le banche gestiscono infrastrutture critiche ad alta interconnessione, in cui una singola vulnerabilità può propagarsi rapidamente. La seconda è normativa: istituti finanziari europei operano in un contesto regolatorio che richiede la conformità a standard come DORA (Digital Operational Resilience Act), il cui perimetro include esplicitamente la resilienza rispetto alle minacce cyber avanzate.

Le implicazioni per il sistema bancario europeo

L’allarme della BCE su Claude Mythos arriva in un momento in cui il settore finanziario europeo sta affrontando una transizione digitale accelerata. Le banche investono in sistemi AI per automazione, analisi del rischio e customer service, ma la stessa tecnologia che ne rafforza le capacità operative diventa anche una superficie di attacco più ampia.

Gli esperti del settore segnalano che la risposta al rischio posto da strumenti come Mythos non può essere solo difensiva. Richiede una revisione dell’architettura di sicurezza IT, una riduzione drastica dei tempi di patch, l’adozione di sistemi di monitoraggio continuo e, soprattutto, una maggiore collaborazione tra istituzioni pubbliche e private nella condivisione delle informazioni sulle minacce emergenti.

La riunione del 26 maggio segna un passaggio importante: per la prima volta, un’autorità di supervisione bancaria europea convoca una sessione dedicata specificamente ai rischi posti da un singolo modello di intelligenza artificiale. È il segnale che la governance dell’AI nella finanza ha smesso di essere una questione futura ed è diventata una priorità del presente.