Le banche dell’area euro si trovano a dover rafforzare le proprie difese informatiche contro una minaccia che non possono ancora vedere da vicino. Frank Elderson, vicepresidente del Supervisory Board della BCE e membro del Comitato esecutivo, ha pubblicato il 13 maggio 2026 un intervento nella Supervision Newsletter dell’istituzione in cui descrive Claude Mythos, il nuovo modello di intelligenza artificiale sviluppato da Anthropic, come qualcosa di qualitativamente diverso da qualsiasi strumento di analisi della sicurezza informatica finora disponibile. Non un aggiornamento, non un passo avanti nella continuità, ma una discontinuità vera.
Anthropic aveva annunciato Mythos ufficialmente ad aprile 2026, presentandolo come un sistema di livello superiore alla propria linea Claude Opus, con capacità avanzate nell’ingegneria del software e nel ragionamento a più fasi. La piattaforma, però, è stata resa disponibile soltanto a un numero ristretto di grandi organizzazioni negli Stati Uniti, in una fase che la stessa Anthropic ha definito di anteprima controllata. Le banche europee restano escluse. Il Giappone, secondo le informazioni disponibili, sta lavorando per ottenere un accesso. L’Europa, per ora, osserva dall’esterno un sistema che la BCE considera in grado di cambiare le regole della cybersicurezza finanziaria in tempi brevissimi. Elderson ha riconosciuto apertamente questa asimmetria, aggiungendo però che l’assenza di accesso a Mythos non può diventare una giustificazione per l’inerzia: al contrario, secondo il dirigente BCE, rende ancora più urgente che gli istituti accelerino sul fronte delle difese con gli strumenti che già hanno a disposizione.
Durante i test condotti sul modello, Mythos ha generato exploit operativi all’83% dei primi tentativi, superando in molti casi gli analisti specializzati. Ad aprile 2026 un piccolo gruppo di utenti aveva già ottenuto accesso non autorizzato alla piattaforma attraverso un forum privato online, senza che si registrassero attività di hacking documentate; l’episodio ha però rafforzato le preoccupazioni su cosa potrebbe accadere in caso di accesso incontrollato su scala più ampia.
Tre capacità che cambiano il profilo del rischio
Elderson ha indicato tre caratteristiche specifiche che distinguono Mythos dagli strumenti di analisi della sicurezza già esistenti. La prima riguarda la velocità e la scala con cui il modello riesce a individuare e sfruttare autonomamente le vulnerabilità dei sistemi software, incluse falle rimaste non rilevate per decenni. La seconda è la capacità di combinare vulnerabilità apparentemente minori, singolarmente poco pericolose, in attacchi coordinati di ampia portata, operazioni che in precedenza richiedevano settimane di lavoro da parte di team di specialisti. La terza, probabilmente quella con le implicazioni più dirette per la gestione operativa delle banche, riguarda la capacità di decodificare le patch di sicurezza rilasciate dai produttori di software per ricavarne exploit funzionanti nel giro di poche ore, laddove prima erano necessarie settimane intere. È su quest’ultimo punto che il dirigente BCE ha insistito maggiormente: le vulnerabilità finora classificate come minori, corrette solo a intervalli lunghi perché considerate non prioritarie, devono ora essere trattate con la stessa urgenza di quelle critiche.
La preoccupazione espressa dalla BCE si estende oltre il perimetro diretto delle banche. Elderson ha sottolineato che anche le infrastrutture critiche su cui gli istituti si appoggiano come reti di pagamento, fornitori di servizi tecnologici, sistemi condivisi rientrano nel perimetro del rischio, perché un attacco a questi livelli può produrre effetti a cascata sull’operatività bancaria complessiva. Le azioni richieste agli istituti devono essere specifiche per ciascuna realtà, proporzionate al profilo di rischio e allineate con il DORA, il Digital Operational Resilience Act, il quadro normativo europeo sulla resilienza operativa del settore finanziario.
La BCE studia contromisure, la Commissione valuta le implicazioni normative
L’intervento di Elderson si inserisce in un quadro istituzionale già in movimento. Christine Lagarde aveva dichiarato all’inizio di maggio che la BCE sta elaborando misure di difesa specifiche per lo scenario in cui attori statali o malevoli ottenessero accesso a Mythos, lamentando al tempo stesso la disparità di trattamento tra Stati Uniti e resto del mondo che la distribuzione controllata del modello ha generato. La Commissione europea ha confermato di essere stata informata da Anthropic sulle capacità del sistema e di star valutando le implicazioni per le politiche e la legislazione dell’Unione. Elderson ha chiuso il suo intervento con un avvertimento che guarda oltre il modello attuale: le istituzioni devono attrezzarsi strutturalmente per gestire versioni future ancora più potenti, che potrebbero essere rilasciate in rapida successione, senza poter presumere che Mythos rappresenti il punto di arrivo dello sviluppo tecnologico in questo campo.
