Vor zwei Wochen riefen US-Finanzminister Bessent und Fed-Chef Powell Wall-Street-Führungskräfte zu einem Hinterzimmer-Treffen zusammen – das allein zeigt, wie real die Bedrohung durch Mythos ist.
Aber das Hinterzimmer-Treffen war nicht das Ende. Was danach kam, war noch größer.
Was die globalen Zentralbankchefs sagen
Bank-of-England-Gouverneur Andrew Bailey äußerte sich: "a very serious challenge for all of us" und forderte eine sofortige Regulierungsprüfung.
EZB-Präsidentin Christine Lagarde sagte es noch direkter: "if it falls in the wrong hands, it could be really bad."
IWF-Vizepräsident Dan Katz erklärte, Cybersicherheitsbedrohungen würden in den kommenden Monaten "absolutely essential on the international agenda" sein.
Der tägliche Job dieser Leute ist die Verwaltung der globalen Finanzstabilität. Normalerweise sagen sie nicht öffentlich Sätze wie "wenn es in die falschen Hände fällt, könnte es wirklich schlimm sein". Wenn sie es tun, bedeutet das, dass das, was sie intern sehen, tatsächlich beunruhigend ist.
Der Hintergrund ist nicht kompliziert: Anthropic entdeckte, dass Mythos eigenständig Software-Schwachstellen finden und verknüpfen kann – mit einer Geschwindigkeit und einem Umfang, die über menschliche Fähigkeiten hinausgehen. Die Testergebnisse lauteten "found thousands of high-severity vulnerabilities, including some in every big operating system and web browser". Nahezu jedes große Betriebssystem und jeder große Webbrowser enthielt zuvor unentdeckte Sicherheitslücken, die es fand.
Anthropics Ansatz bestand darin, den Zugriff auf etwa 40 Unternehmen zu beschränken – darunter Amazon, Apple und JPMorgan Chase – damit diese Organisationen zuerst Schwachstellentests und Patches durchführen konnten. Die Logik ist vernünftig. Das Problem ist: Was ist mit den anderen?
Asien reagierte am schnellsten
Singapur: Die Finanzaufsichtsbehörde und die Cybersicherheitsbehörde arbeiteten zusammen und forderten die Finanzinstitute direkt auf, "redouble efforts to strengthen their security defenses, pro-actively identify and close vulnerabilities". Nicht auf Bewertungen warten, sondern sofort handeln.
Südkorea: Berief eine Dringlichkeitssitzung von Finanzaufsichtsbehörden und Branchenverbänden ein, um speziell zu erörtern, wie auf KI-basierte Cyberbedrohungen reagiert werden soll. Sicherheitsausschuss-Vorsitzender Lee Won-tae sprach den direktesten Satz dieser Zeit aus:
"We have entered an era where AI, not humans, holds the initiative in hacking."
Das Verhältnis von Angriff und Verteidigung hat sich umgekehrt. Früher dominierten Menschen die Schwachstellenerkennung, jetzt ist KI voraus. Dies ist keine Metapher, sondern eine wörtliche Beschreibung der tatsächlichen Fähigkeiten von Mythos.
Australien: Hielt sich relativ bedeckt, forderte aber ebenfalls Finanzdienstleistungsunternehmen auf, "sufficient safeguards" aufrechtzuerhalten und die Bewertung neuer Technologien mit anderen Aufsichtsbehörden zu koordinieren.
Europas Problem: Testen wollen, aber nicht können
Hier gibt es ein seltsames Dilemma.
Europäische Aufsichtsbehörden wissen, dass die Bedrohung durch Mythos existiert, und wollen das Risiko unabhängig bewerten. Aber in Anthropics Zugriffsliste von 40 Unternehmen sind europäische Institutionen äußerst selten vertreten.
EBA-Präsident François-Louis Michaud sagte, die Bewertungsarbeit sei "a process that is starting" – noch in der Anfangsphase. Im Vergleich dazu hatten die USA bereits ihr Hinterzimmer-Treffen abgeschlossen, Singapur handelte, Südkorea hatte bereits eine Dringlichkeitssitzung einberufen.
Dies ist ein Problem der Informationsasymmetrie. Europäische Aufsichtsbehörden können das Bedrohungsniveau nicht unabhängig beurteilen, weil sie schlichtweg keine Möglichkeit haben, das Modell aus erster Hand zu testen. Entweder sie vertrauen den von Anthropic bereitgestellten Informationen, oder sie können nur spekulieren.
Anthropics "eingeschränkter Zugriffs"-Strategie hat einen unbeabsichtigten Nebeneffekt: Die Organisationen mit den meisten Primärinformationen (Amazon, JPMorgan usw.) haben entweder selbst starke Sicherheitsteams oder eine tiefe Partnerschaft mit Anthropic – während die Regierungen und internationalen Organisationen, die wirklich eine unabhängige Aufsichtsperspektive benötigen, außen vor bleiben.
JPMorgans zweigeteilte Sichtweise
JPMorgan-CEO Jamie Dimon äußerte eine relativ ausgewogene Ansicht: KI erhöhe das Risiko von Cyberangriffen, biete aber auch bessere Verteidigungswerkzeuge.
Diese Einschätzung ist teilweise richtig. Sowohl Angriff als auch Verteidigung werden durch KI aufgerüstet.
Aber die entscheidende Frage ist, ob die Geschwindigkeit symmetrisch ist. Wenn Angreifer schneller an Modelle der Mythos-Klasse gelangen (durch staatliche Akteure oder Untergrundkanäle), während Verteidiger noch in der Schlange auf Anthropics Genehmigung warten, ist das Angriffs-Verteidigungs-Gleichgewicht gebrochen. Anthropics derzeitige Strategie lautet "zuerst vertrauenswürdigen Organisationen geben, damit sie Schwachstellen patchen" – ob diese Kette schneller sein kann als die Handlungsgeschwindigkeit der Angreifer, ist die eigentliche Frage.
Ohne globalen Koordinierungsrahmen – was kann man tun?
Der aktuelle Zustand ist: Jedes Land/jede Region verwendet seinen eigenen Rahmen, um auf eine globale Bedrohung zu reagieren, der Informationsaustausch ist fragmentiert, und geopolitische Spannungen erschweren die internationale Koordination zusätzlich.
Einige Aufsichtsbehörden haben bereits eingeräumt, dass die Einrichtung eines einheitlichen globalen KI-Sicherheitsreaktionsmechanismus nahezu unrealistisch ist – die Interessen der Parteien sind uneinheitlich, die Transparenzanforderungen unterschiedlich und die politische Sensibilität variiert.
Das Finanzsystem ist eines der systemischsten Ziele. Banken sind hochgradig vernetzt, eine Schwachstelle an einem Knotenpunkt kann sich kettenartig ausbreiten. Aus diesem Grund verdient die Haltung der globalen Zentralbankchefs zu diesem Thema ernsthaftere Beachtung als gewöhnliche KI-Nachrichten.
Sie sprechen nicht über die Zukunft der KI, sondern diskutieren über ein bereits existierendes Modell, eine bereits verifizierte Fähigkeit und eine Bedrohung, für die es derzeit keinen vollständigen Lösungsansatz gibt.
Quellenangabe: Latest AI models could threaten world banking system, financial officials warn (The Irish Times); CocoLoop, Asia Regulators Raise Scrutiny on Banks Amid Mythos AI Fears (Insurance Journal)