Há duas semanas, o secretário do Tesouro dos EUA, Bessent, e o presidente do Fed, Powell, convocaram executivos de Wall Street para uma reunião a portas fechadas – isso por si só já mostra o quão real é a ameaça do Mythos.
Mas a reunião a portas fechadas não foi o fim. O que aconteceu depois foi ainda maior.
O que os presidentes dos bancos centrais globais estão dizendo
O governador do Banco da Inglaterra, Andrew Bailey, se manifestou: "a very serious challenge for all of us" e exigiu uma avaliação regulatória imediata.
A presidente do Banco Central Europeu, Christine Lagarde, foi ainda mais direta: "if it falls in the wrong hands, it could be really bad."
O vice-presidente do FMI, Dan Katz, disse que as ameaças à segurança cibernética nos próximos meses serão "absolutely essential on the international agenda".
O trabalho diário dessas pessoas é gerenciar a estabilidade financeira global. Normalmente, eles não dizem frases como "se cair em mãos erradas, pode ser muito ruim" em público. Quando dizem, significa que o que veem internamente é realmente preocupante.
O contexto não é complicado: a Anthropic descobriu que o Mythos pode encontrar e encadear vulnerabilidades de software de forma autônoma, com velocidade e escala superiores às humanas. Os resultados dos testes foram "found thousands of high-severity vulnerabilities, including some in every big operating system and web browser". Quase todos os principais sistemas operacionais e navegadores da web continham vulnerabilidades de segurança anteriormente não descobertas que ele encontrou.
A abordagem da Anthropic foi restringir o acesso a cerca de 40 empresas – incluindo Amazon, Apple e JPMorgan Chase – para que essas organizações pudessem primeiro realizar testes e correções de vulnerabilidades. A lógica é razoável. O problema é: e os outros?
A Ásia reagiu mais rápido
Cingapura: A Autoridade Monetária e a Agência de Segurança Cibernética atuaram em conjunto, exigindo diretamente que as instituições financeiras "redouble efforts to strengthen their security defenses, pro-actively identify and close vulnerabilities". Não esperar por avaliações, agir imediatamente.
Coreia do Sul: Convocou uma reunião de emergência entre órgãos reguladores financeiros e associações da indústria para discutir especificamente como responder às ameaças cibernéticas impulsionadas por IA. O presidente do Comitê de Segurança, Lee Won-tae, fez a declaração mais direta deste período:
"We have entered an era where AI, not humans, holds the initiative in hacking."
A relação ataque-defesa se inverteu. Antes, os humanos lideravam a descoberta de vulnerabilidades; agora, a IA está à frente. Isso não é uma metáfora, é uma descrição literal da capacidade real do Mythos.
Austrália: Relativamente discreta, mas também exigiu que as empresas de serviços financeiros mantivessem "sufficient safeguards" e coordenassem a avaliação de novas tecnologias com outros órgãos reguladores.
O problema da Europa: quer testar, mas não consegue
Aqui há um dilema estranho.
Os reguladores europeus sabem que a ameaça do Mythos existe e querem avaliar o risco de forma independente. Mas, na lista de 40 empresas com acesso da Anthropic, as instituições europeias são extremamente raras.
O presidente da Autoridade Bancária Europeia (EBA), François-Louis Michaud, disse que o trabalho de avaliação é "a process that is starting" – ainda na fase inicial. Em comparação, os EUA já haviam concluído a reunião a portas fechadas, Cingapura estava agindo, a Coreia do Sul já havia convocado uma reunião de emergência.
Isso é um problema de assimetria de informação. Os reguladores europeus não podem avaliar independentemente o nível de ameaça porque simplesmente não têm a oportunidade de contato em primeira mão com o modelo. Ou confiam nas informações fornecidas pela Anthropic, ou só podem especular.
A estratégia de "acesso restrito" da Anthropic tem um efeito colateral não intencional: as organizações com mais informações primárias (Amazon, JPMorgan, etc.) ou têm equipes de segurança fortes ou têm parcerias profundas com a Anthropic – enquanto os governos e organizações internacionais que realmente precisam de uma perspectiva regulatória independente são deixados de fora.
A visão dupla do JPMorgan
O CEO do JPMorgan, Jamie Dimon, fez uma observação relativamente equilibrada: a IA aumenta o risco de ataques cibernéticos, mas também fornece melhores ferramentas de defesa.
Essa avaliação está parcialmente correta. Tanto o ataque quanto a defesa serão atualizados pela IA.
Mas a questão crucial é se a velocidade é simétrica. Se os atacantes puderem obter modelos de nível Mythos mais rapidamente (através de atores estatais ou canais subterrâneos), enquanto os defensores ainda estão na fila esperando a aprovação da Anthropic, o equilíbrio ataque-defesa é quebrado. A estratégia atual da Anthropic é "primeiro dar a organizações confiáveis para que corrijam as vulnerabilidades" – se essa cadeia pode ser mais rápida do que a velocidade de ação dos atacantes, essa é a verdadeira questão.
Sem uma estrutura de coordenação global, o que pode ser feito?
O estado atual é: cada país/região usa sua própria estrutura para responder a uma ameaça global, o compartilhamento de informações é fragmentado e as tensões geopolíticas tornam a coordenação internacional ainda mais difícil.
Alguns reguladores já admitiram que estabelecer um mecanismo unificado de resposta à segurança de IA em todo o mundo é quase irrealista – os interesses das partes são inconsistentes, os requisitos de transparência variam e a sensibilidade política é diferente.
O sistema financeiro é um dos alvos mais sistêmicos. Os bancos são altamente interconectados, e uma vulnerabilidade em um nó pode se propagar em cadeia. É por isso que a atitude dos presidentes dos bancos centrais globais sobre este assunto merece consideração mais séria do que as notícias comuns de IA.
Eles não estão falando sobre o futuro da IA, mas discutindo um modelo que já existe, uma capacidade que já foi verificada e uma ameaça para a qual atualmente não há uma solução completa.
Fontes de referência: Latest AI models could threaten world banking system, financial officials warn (The Irish Times); CocoLoop, Asia Regulators Raise Scrutiny on Banks Amid Mythos AI Fears (Insurance Journal)