Presidente do Banco da Inglaterra pede avaliação urgente dos riscos cibernéticos do modelo de IA da Anthropic para os bancos

Andrew Bailey, presidente do Banco da Inglaterra, pediu que reguladores do mundo todo avaliem rapidamente a ameaça que o modelo de IA Mythos, da Anthropic, pode representar para os bancos. A declaração importa não só por citar uma empresa e um modelo específicos. Ela mostra que o debate sobre inteligência artificial no setor financeiro está saindo do tema da eficiência e da automação e indo para a ciberresiliência e o risco sistêmico. Para bancos centrais e órgãos de supervisão, importa agora não apenas o potencial da IA, mas também a velocidade com que ela pode mudar o perfil de ameaças das maiores instituições financeiras.

Bailey comanda um dos principais bancos centrais do mundo, e seus alertas públicos costumam ser lidos como um sinal para a comunidade reguladora em geral. No risco cibernético, a preocupação não é com uma abstrata "rebelião das máquinas", e sim com cenários mais concretos: ataques de phishing mais rápidos, automação da busca por vulnerabilidades, geração de código malicioso, contorno de procedimentos internos e ataques sofisticados mais baratos para criminosos. Os bancos são especialmente sensíveis a essas mudanças porque administram, ao mesmo tempo, dinheiro, infraestrutura crítica de pagamentos e enormes volumes de dados confidenciais.

Também é relevante que Bailey fale especificamente de uma resposta global dos reguladores. Grandes bancos atuam em várias jurisdições ao mesmo tempo, dependem de serviços de nuvem internacionais, estão conectados a canais de pagamento compartilhados e usam longas cadeias de fornecedores externos de tecnologia. Se um sistema de IA poderoso reduz a barreira de entrada para ciberataques ou acelera o preparo de operações complexas, o problema não fica local. Um elo fraco em um país ou em um fornecedor pode virar rapidamente um problema para os fluxos financeiros transfronteiriços. Por isso, a ideia de avaliação rápida soa como um chamado à coordenação, e não só a mais um relatório interno.

A menção ao Mythos também é reveladora. Reguladores costumam discutir a IA como uma classe de tecnologia, mas apontam publicamente com menos frequência um modelo específico que exija avaliação urgente de riscos. Isso significa que o foco vai migrando de princípios gerais para a análise prática das capacidades do produto: com que autonomia ele executa cadeias de ações, como se sai em tarefas técnicas, se pode usar ferramentas externas, o quanto torna escalável um possível abuso e com que rapidez suas capacidades melhoram de uma versão para outra. Essa abordagem não equivale a acusar o desenvolvedor de criar uma ferramenta perigosa. É antes o reconhecimento de que as capacidades dos modelos se tornam, em si, objeto de supervisão financeira.

Para os bancos, esses sinais indicam que a ciber-higiene meramente formal já não basta. Provavelmente terão de rever controle de acesso, o uso de serviços externos de IA por funcionários, a verificação de fornecedores, testes de cenários de fraude, a proteção de repositórios internos de código e a qualidade do monitoramento de atividades incomuns. A IA complica o quadro porque as mesmas tecnologias podem reforçar tanto a defesa quanto o ataque. Sistemas que ajudam analistas a detectar anomalias mais rápido e a automatizar investigações podem, potencialmente, acelerar também o preparo de ataques mais precisos e em maior escala. Por isso, o antigo modelo de verificações esporádicas e atualização lenta dos requisitos parece cada vez mais insuficiente.

A declaração de Bailey pode ser lida como um indício precoce de uma nova etapa da regulação: a IA nas finanças passa a ser vista não só pela ótica da inovação, mas também pela da resiliência operacional. Se os reguladores do mundo realmente acelerarem essa avaliação, os bancos provavelmente enfrentarão exigências mais duras de testes, divulgação de informações e gestão de dependências tecnológicas externas. Se não, a vantagem de velocidade pode ficar com os atacantes. A questão central não é se o setor financeiro precisa de IA, mas se as regras e as defesas acompanham o ritmo de evolução dos próprios modelos.