Anthropic presentará su modelo de IA Mythos a los reguladores financieros del G20

Anthropic ha recibido una invitación poco habitual: presentar su modelo de IA Mythos ante los reguladores financieros del G20. El gobernador del Banco de Inglaterra, Andrew Bailey, que preside el Financial Stability Board (FSB), ha invitado a la compañía a informar a ministros de Finanzas y responsables de bancos centrales sobre las vulnerabilidades que ha detectado el modelo.

Por qué la ciberseguridad financiera está en el foco

El sector bancario es infraestructura crítica de la economía global. Cualquier vulnerabilidad en los sistemas de pagos, financiación comercial o liquidación puede desencadenar una crisis sistémica. SWIFT, que procesa billones de dólares a diario, ya ha sufrido ataques graves: en 2016 se robaron 81 millones de dólares a través de su sistema. Las ciberamenazas de este año se han vuelto tan peligrosas que el FSB las ha incluido en su lista de riesgos financieros prioritarios, junto al cambio climático y la inflación.

En este contexto, una herramienta de IA capaz de identificar automáticamente vulnerabilidades en la infraestructura de pagos ha despertado el interés no solo de los tecnólogos, sino también de los políticos. Los bancos suelen ir con retraso en las actualizaciones de seguridad por el coste y la reticencia a alterar la estabilidad de los sistemas. Los reguladores, por su parte, buscan acelerar el proceso sin sobrecargar a los equipos de TI.

Andrew Bailey señaló de forma explícita que Mythos ya ha identificado problemas de seguridad graves en sistemas financieros, y que eso es lo bastante relevante como para discutirlo a nivel del G20.

Cómo busca vulnerabilidades Mythos

El modelo de Anthropic analiza la infraestructura financiera de forma sistemática y ejecuta distintas pruebas de seguridad:

• escanea las API de los bancos en busca de vulnerabilidades de autenticación y autorización
• prueba la resistencia de las pasarelas de pago frente a ataques de denegación de servicio
• analiza los registros de seguridad en busca de indicios de compromiso y actividad sospechosa
• detecta configuraciones incorrectas en sistemas en la nube y almacenes de datos
• comprueba el cumplimiento de los datos con normas regulatorias, incluidas PCI-DSS y GDPR

En la práctica, Mythos ya ha encontrado vulnerabilidades que podrían haber permitido el acceso no autorizado a cuentas de clientes y el compromiso de terminales de pago. Algunos de estos problemas tenían que ver con una implementación incorrecta de protocolos de autenticación, que los especialistas de los bancos no lograron detectar en una auditoría estándar. Es importante que Mythos trabaja con sistemas financieros reales, pero bajo el control y con el permiso de los bancos.

Un paso sin precedentes

Es la primera vez que se invita a una empresa de IA a presentar ante el FSB resultados sobre vulnerabilidades detectadas en el sector financiero. Normalmente estos datos se mantienen confidenciales y solo se discuten entre los CISO de los bancos, sus equipos técnicos y los reguladores nacionales.

La decisión de Andrew Bailey de plantear el asunto ante el G20 sugiere que el problema va más allá de fallos locales en bancos concretos. Podría tratarse de vulnerabilidades sistémicas en la arquitectura de los pagos internacionales o de nuevas clases de ataques que las herramientas de seguridad tradicionales no detectan. También es una señal de que la IA empieza a ejercer un papel no solo como herramienta tecnológica, sino como activo estratégico para proteger la estabilidad financiera.

«No estamos aquí para sustituir a las personas, sino para reforzar su

capacidad de identificar riesgos críticos para la estabilidad financiera».

Qué significa

Es la primera señal de que los reguladores empiezan a usar la IA no como una amenaza, sino como herramienta para proteger el sistema financiero. Si el FSB aprueba el enfoque de Anthropic, cabe esperar que estos sistemas de IA sean recomendados u obligatorios para todas las grandes instituciones financieras de los países del G20. Otros reguladores, como la SEC en EE. UU., la FCA en el Reino Unido y la EBA en Europa, probablemente empezarán a exigir a los bancos que implanten sistemas similares de detección de vulnerabilidades.

Para las empresas de IA, esto abre un nuevo mercado: en lugar de B2C o SaaS B2B, pueden trabajar directamente con reguladores públicos en infraestructura crítica.