Крупные американские банки в последние недели ускорили проверку устойчивости своих ИТ-систем после выявления уязвимостей с помощью дорогостоящего и «мощного, но непростого» инструмента на базе ИИ Mythos. Речь идет о срочных исправлениях в программном обеспечении, обновлениях и переработке процессов киберзащиты — и, как следствие, о риске временных сбоев для клиентов, если устранение проблем потребует остановок отдельных сервисов.
Почему Mythos стал триггером для экстренных работ
Mythos — это ИИ-инструмент от Anthropic, который может анализировать код и находить слабые места в программных системах. Его ключевая особенность, по словам специалистов и участников процесса тестирования, заключается в способности выявлять цепочки проблем: даже если отдельные уязвимости сами по себе выглядят относительно «низкорисковыми», модель может связать их так, что итоговая комбинация становится существенно опаснее.
В результате банки, получившие доступ к Mythos, сейчас пересматривают состояние своих инфраструктур. Параллельно крупные игроки, как отмечают источники, делятся наблюдениями с более мелкими кредитными организациями, которые не имеют прямого доступа к инструменту, чтобы те заранее подготовили собственные системы.
«Киберриски переходят на скорость машин»
Сооснователь и генеральный директор Incedo Нитин Сетх охарактеризовал ситуацию как «сигнал тревоги»: киберугрозы, по его мнению, все быстрее переходят в режим, где темп реакции определяется не людьми, а автоматизированными системами. Он также обратил внимание на еще одну болезненную для отрасли идею: в банковской безопасности долгое время сохранялось допущение, что уязвимости могут оставаться незамеченными длительное время, прежде чем их кто-то сможет эффективно использовать. Mythos, по сути, сокращает этот «зазор» — проблемы обнаруживаются быстрее, чем раньше.
Что именно находят банки в ходе тестов
По данным участников проверки, при работе с Mythos финансовые организации выявляют уязвимости, которые затем приходится устранять в ускоренном режиме. В одном из описаний процесса подчеркивается, что модель хорошо справляется с «склеиванием» отдельных слабостей в более опасную итоговую конфигурацию.
При этом Mythos, как отмечается, особенно эффективно работает по двум направлениям:
- по поиску проблем в проприетарном (закрытом) программном коде;
- по анализу уязвимостей в коде с открытым исходным текстом.
Такой фокус усиливает давление на банки, которые используют технологические «наследия» — системы, созданные много лет назад и теперь подошедшие к моменту, когда поддержка вендора заканчивается или становится менее предсказуемой. В подобных случаях обновление — не косметическая правка, а иногда полноценная модернизация.
Масштаб проблемы: от сотен до тысяч
Ожидаемый объем найденных слабых мест описывается как значительный: от нескольких сотен до нескольких тысяч уязвимостей, которые в классификациях обычно относятся к низко- или среднерисковым. Однако ключевой момент в том, что их все равно нужно исправлять, потому что в связке они могут давать злоумышленникам более сильную «рабочую» атаку.
Дополнительный фактор — скорость, с которой банки вынуждены действовать. В отдельных случаях речь может идти о патчах в течение дней, тогда как раньше компании могли откладывать такие работы на недели. Для банков это особенно чувствительно: любая крупная ИТ-реализация затрагивает операционные процессы и требования к стабильности.
Риск простоев и новая норма для проверок
Увеличенная нагрузка на ИТ-команды, как предполагают участники процесса, может привести к более частым отключениям части систем. При этом банки стремятся организовывать исправления так, чтобы минимизировать влияние на пользователей — например, за счет плановых окон обслуживания и более точного выбора компонентов, которые нужно обновить.
Отдельно подчеркивается, что быстрые тесты ИИ-продуктов, включая Mythos, могут стать «новой нормой»: организации, получившие такой инструмент, ожидают работать с ним не разово, а регулярно, встроив проверки в свой цикл управления рисками.
Почему вход для небольших банков оказался сложным
Одна из главных «барьерных» причин для небольших кредитных организаций — стоимость технологий. Кроме расходов на использование, отмечается и инфраструктурное ограничение: не у всех банков хватает вычислительных мощностей, чтобы эффективно работать с моделью.
При этом крупные игроки, имеющие доступ к Mythos, сообщают результаты своих исследований, помогая тем самым остальным организациям хотя бы частично подготовиться к будущим обновлениям и проверкам.
Сколько стоит Mythos: токены и разница в цене
Как и многие современные модели ИИ, Claude Mythos Preview оценивается по количеству токенов — единиц измерения текста или данных, которые модель должна «поглотить», чтобы ответить на запрос пользователя. В описании цены фигурируют следующие тарифы:
- $25 за каждый миллион токенов, введенных клиентом в модель;
- $125 за каждый миллион токенов, которые модель выдает на выходе.
Отмечается, что это в точности в пять раз дороже по сравнению с более широко доступной моделью Opus 4.7 от Anthropic. Для банков и киберкоманд это означает, что объем проверок нужно планировать особенно тщательно: слишком частые запуски могут быстро сделать проект экономически тяжелым.
Кредиты от Anthropic и рекомендации тем, кто не получил доступ
Одновременно Anthropic заявляла о поддержке клиентов через кредиты: компания готова предоставить Glasswing partners и другим пользователям Mythos $100 млн в виде credit-ресурса. В сообщении подчеркивалось, что это «покроет существенное использование» в рамках исследовательского превью.
Также были опубликованы рекомендации по укреплению защиты даже тем организациям, которые не имеют доступа к Mythos. В частности, упоминалась возможность применения другого продукта Anthropic — Claude Security, который предназначен для сканирования уязвимостей и доступен более широкому кругу организаций.
Обсуждение цен: «безопасность» и коммерческая устойчивость
Руководитель Anthropic Майк Кригер ранее отмечал, что при формировании цен в лаборатории учитывали одновременно вопросы безопасности и бизнес-интересы. По его логике, стоимость должна быть достаточно низкой, чтобы стимулировать использование ИИ-инструмента, но при этом достаточно высокой, чтобы «финансировать бизнес». В качестве цели называлась максимизация количества «aligned tokens» — то есть согласованных по назначению и безопасных по использованию выходов модели, которые попадают в реальный мир.
Кто получил доступ: Project Glasswing и партнеры
Изначально доступ к Mythos ограничивался участниками партнерской программы Project Glasswing и еще примерно 40 дополнительными организациями. Среди публично названных стартовых партнеров фигурировал JPMorgan Chase. Также доступ к инструменту получили Goldman Sachs, Citigroup, Bank of America и Morgan Stanley.
В контексте киберобороны это важно: такие инструменты обычно тестируются не только для поиска уязвимостей «в лабораторных условиях», но и для проверки того, как быстро организации способны превратить найденные слабости в конкретные исправления и меры защиты.
Как к Mythos подступались в CrowdStrike
Адам Мейерс, который возглавляет counter adversary operations в CrowdStrike (компания входит в Project Glasswing), рассказал, что после получения доступа его команда в первые дни потратила «целые выходные» на то, чтобы понять, как лучше использовать инструмент, прежде чем перейти к поиску багов. По его словам, для эффективного применения пришлось разработать «целую методологию» и набор возможностей, чтобы «захватить» потенциал модели.
Когда Мейерс впервые узнал о Mythos, его реакция была эмоциональной: «oh boy» — дословно «о, вот это да», то есть оценка масштаба и сложности задачи.
Позиция регулятора и предупреждения консультантов
Один из старших представителей банковского надзора полагал, что Mythos оправдывает ожидания по мощности и особенно хорош в быстром соединении разрозненных данных, чтобы подсветить уязвимости, на обнаружение которых людям могло бы уйти заметно больше времени.
Для тех банков, у которых нет доступа к Mythos, консультанты подчеркивают необходимость защищать собственные системы и не откладывать работу по приведению инфраструктуры в соответствие с актуальными требованиями безопасности.
Почему финансовый сектор реагирует острее других
Бернар Монтель, EMEA Technical Director и Security Strategist компании Tenable, отметил, что хотя уязвимости затрагивают и другие сферы, особенность банковского сектора в том, что «его основа — это технологии». Следовательно, риски и сбои сильнее отражаются на критически важных процессах, и даже частичные нарушения могут быть ощутимыми для всей цепочки услуг.
Что это значит для клиентов
Для пользователей текущая волна означает более пристальное внимание банков к управлению уязвимостями и вероятные плановые работы в ИТ-среде. Если устранение проблем потребует обновлений с перерывами, банки будут стремиться проводить их так, чтобы влияние на сервисы оставалось минимальным. Однако сама логика происходящего показывает: темп киберрисков ускоряется, а значит, и скорость реагирования банковской инфраструктуры становится одним из ключевых конкурентных и защитных параметров.
