O Banco Central Europeu convocou uma reunião com bancos para a próxima terça-feira (26) a fim de pressioná-los a acelerar a correção de vulnerabilidades de TI expostas pelos mais recentes modelos de inteligência artificial, incluindo o Claude Mythos Preview, da Anthropic.
BCE e cibersegurança de IA: contexto da reunião
| Item |
Detalhe |
| Data da reunião |
26/mai/2026 (terça-feira) |
| Convocante |
BCE (supervisão bancária) |
| Bancos supervisionados |
~111 (maior zona do euro, incluindo subsidiárias de Wall Street) |
| Modelo em foco |
Claude Mythos Preview (Anthropic) e similares |
| Vulnerabilidades reveladas |
Milhares de “muito graves”, incluindo em OS e browsers |
| Janela de exploração pós-patch |
~30 minutos (era semanas) |
| Acesso ao Mythos |
Restrito a EUA via Project Glasswing (Anthropic) |
Fonte: Valor Econômico / FT
Reunião de urgência e a janela de 30 minutos
Frank Elderson, vice-presidente do conselho do BCE responsável pela supervisão bancária, disse ao Financial Times que o órgão pretende enfatizar a gravidade da ameaça e incentivar bancos americanos com acesso ao Mythos a compartilhar aprendizados com seus pares europeus. “Há toda uma gama de questões de cibersegurança sobre as quais estamos trabalhando com os bancos há anos e que continuam totalmente válidas, mas, dado o avanço da IA, elas precisam ser tratadas mais rapidamente”, disse. Em termos práticos, o executivo foi direto: Segundo Elderson, quando um grande fornecedor de software lança uma atualização, já é possível fazer engenharia reversa da vulnerabilidade que ela corrigia, não em semanas, mas em cerca de 30 minutos.
O diagnóstico transforma o ciclo de patching de uma rotina operacional em uma corrida de velocidade. “Isso significa que, assim que a atualização é disponibilizada, um banco precisa ter processos em vigor para garantir que aplique essas correções muito mais rapidamente do que hoje é considerado normal no mercado”, acrescentou Elderson. No mês passado, a Anthropic havia divulgado que o Mythos “encontrou milhares de vulnerabilidades muito graves, incluindo algumas presentes em todos os principais sistemas operacionais e navegadores da web”, e alertou que “as consequências para a economia, segurança pública e segurança nacional podem ser severas”.
Acesso restrito ao Mythos cria fratura entre bancos
O BCE supervisiona cerca de 111 dos maiores bancos da zona do euro, entre eles subsidiárias de grandes bancos de Wall Street como o J.P. Morgan Chase, que receberam acesso ao Mythos via Project Glasswing, programa da Anthropic para testes restritos do modelo. Bancos europeus, no entanto, estão sendo excluídos do programa. “Lamentável”, reconheceu Elderson, mas completou: “O fato de você não ter acesso a esse modelo não é desculpa para não agir. Atores mal-intencionados podem ter acesso a essa tecnologia em breve.”
A Anthropic concordou em oferecer briefings de alto nível a algumas organizações fora dos EUA, como o Conselho de Estabilidade Financeira (FSB) e a Comissão Europeia. A assimetria de acesso entre bancos de um mesmo ecossistema de supervisão reflete um padrão mais amplo: uso de IA fora dos canais aprovados já preocupava supervisores muito antes de modelos de capacidade ofensiva chegarem ao mercado corporativo. A Anthropic, que no início do ano enfrentou embate com o governo Trump por restrições ao uso militar de seus modelos, passa agora a ser interlocutora central de reguladores financeiros em dois continentes.
O que observar
O principal risco a monitorar não é a reunião em si, mas a velocidade com que o setor bancário consegue reduzir o tempo de aplicação de patches de segurança de dias ou semanas para horas. Se a engenharia reversa de vulnerabilidades cair para 30 minutos após a publicação de uma atualização, como indica o cenário descrito, instituições com ciclos lentos de aprovação de mudanças de TI ficam expostas por janelas que, na prática, equivalem a portas abertas. A questão não é tecnológica; é de governança interna e velocidade de decisão.
No plano regulatório, a assimetria de acesso a ferramentas de avaliação de vulnerabilidades entre jurisdições cria um problema de supervisão que vai além desta reunião: como reguladores podem exigir que instituições demonstrem resiliência a ameaças para as quais não lhes foi dado acesso formal para testar? À medida que modelos de capacidade ofensiva se tornam mais acessíveis, a pressão por regimes de compartilhamento de inteligência de ameaças entre supervisores de diferentes países deve se intensificar, colocando FSB e comissões regionais no centro da governança de cibersegurança bancária.
Fontes: Valor Econômico / FT
