El Banco Central Europeo (BCE) ha activado todas las alarmas ante la llegada de una nueva tecnología que podría poner en jaque la seguridad del sistema financiero europeo. Se trata de Mythos, el modelo de inteligencia artificial más reciente de la empresa estadounidense Anthropic, cuya capacidad para detectar fallos de seguridad en cuestión de minutos ha despertado el temor del regulador.
Ante esta situación, la institución dirigida por Christine Lagarde ha tomado una decisión inusual: enviar cartas personales a los consejeros delegados de las principales entidades bancarias para exigirles que la ciberseguridad se convierta en una prioridad estratégica inmediata. Esta medida, conocida en el sector como Dear CEO Letter, no se utilizaba con tal urgencia desde la crisis de la pandemia en 2020. El BCE advierte que, si esta herramienta cae en manos de ciberdelincuentes, podría facilitar ataques coordinados capaces de comprometer los datos y el dinero de los clientes de forma casi instantánea. En un contexto donde la banca europea aún no tiene acceso oficial a este modelo por restricciones de Estados Unidos, el regulador insta a los bancos a prepararse para un cambio de escala en las amenazas digitales.
¿Qué es Mythos y por qué asusta al regulador?
Mythos es el nombre del nuevo modelo de inteligencia artificial desarrollado por la tecnológica Anthropic, una de las principales competidoras de OpenAI en el mercado global. A diferencia de otros sistemas de chat convencionales, esta herramienta destaca por su extraordinaria habilidad para analizar código informático y encontrar vulnerabilidades denominadas zero-day. Estos son fallos de seguridad que los propios desarrolladores de un programa desconocen y que, por tanto, no tienen todavía un «parche» o solución disponible.
Lo que realmente preocupa al BCE no es solo la existencia de la herramienta, sino la velocidad a la que opera. Mientras que un equipo de expertos humanos podría tardar semanas en realizar una auditoría de seguridad para encontrar un error crítico, Mythos es capaz de identificar estas brechas en apenas unos minutos. Frank Elderson, vicepresidente del Consejo de Supervisión del BCE, ha señalado que no estamos ante un simple avance gradual, sino ante un verdadero cambio de escala en la potencia de estas herramientas.
Esta capacidad de aprendizaje profundo permite a la IA no solo detectar el fallo, sino generar de forma automatizada el código necesario para explotarlo. Esta dualidad convierte a la tecnología en un arma de doble filo: puede ser la mejor defensa para cerrar agujeros de seguridad, pero también el instrumento más peligroso en manos de actores estatales o grupos criminales que busquen desestabilizar el suministro de energía, la defensa nacional o el sistema bancario totalmente digitalizado.
El impacto en el sector financiero y la ciberseguridad
La cúpula del BCE considera que la aparición de modelos como Mythos obliga a replantear por completo la defensa digital de las entidades. Por ello, el envío de las mencionadas cartas a los primeros espadas de bancos como Santander, BBVA o CaixaBank busca que el debate sobre la IA salga de los departamentos técnicos y llegue directamente a los consejos de administración. El objetivo es que los máximos responsables asuman que este es un desafío estratégico de primer orden.
Las implicaciones reales para el sector son profundas. Si un atacante logra acceso a una versión sin restricciones de un modelo con estas capacidades, podría vaciar cuentas corrientes o colapsar redes de pago en un tiempo récord. El supervisor europeo ha sido muy claro al respecto: la banca debe hacerse resiliente ante ataques que podrían ser mucho más coordinados y sofisticados de lo que hemos visto hasta ahora.
Para mitigar estos riesgos, el BCE recomienda a los bancos seguir los siguientes pasos:
- Debatir el impacto de la IA avanzada al más alto nivel dentro de los consejos de administración.
- Utilizar el reglamento europeo DORA (Digital Operational Resilience Act) como guía fundamental para reforzar la resistencia operativa digital.
- Aumentar de forma significativa la inversión en defensa digital y en capacidades internas de ciberseguridad.
- Empezar a utilizar otros modelos de IA ya disponibles, como las versiones más recientes de ChatGPT, para entrenar sus sistemas de defensa y adaptarse a esta nueva realidad.
El pulso geopolítico y los datos del conflicto
La tensión alrededor de Mythos no es solo tecnológica, sino también geopolítica. Actualmente, Anthropic mantiene este modelo bajo un control muy estricto mediante el programa Project Glasswing. Bajo este marco, solo un selecto grupo de empresas de Estados Unidos, incluyendo gigantes como Apple, Microsoft o JP Morgan, han tenido permiso para evaluar sus capacidades reales.
Aunque inicialmente se planteó que entidades de otros países, como España, pudieran probar la herramienta, el Gobierno de Estados Unidos intervino para prohibir el acceso a compañías de fuera de sus fronteras, alegando razones de seguridad nacional. Esta situación deja a la banca de la eurozona en una posición delicada: deben prepararse para defenderse de una tecnología cuyos límites exactos todavía no pueden testar de primera mano.
Curiosamente, el Reino Unido sí ha logrado posicionarse un paso por delante de la Unión Europea. Su instituto de seguridad para la IA ya ha tenido acceso a Mythos y ha confirmado que puede completar ataques que ninguna otra inteligencia artificial había logrado hasta la fecha. Mientras tanto, en la sede del BCE en Fráncfort, la preocupación aumenta tras los rumores de que versiones no autorizadas del modelo podrían haber filtrado algunas de sus capacidades a usuarios no identificados.
¿Qué significa esto para el futuro de la banca?
La ofensiva preventiva lanzada por el equipo de supervisión que lidera Frank Elderson refleja una realidad inevitable: la inteligencia artificial será el factor determinante para la estabilidad financiera en la próxima década. Ya no se trata solo de si un banco es eficiente o rentable, sino de si es capaz de sobrevivir en un entorno donde las armas digitales evolucionan mucho más rápido que los sistemas de protección tradicionales.
El futuro de nuestros ahorros y de la privacidad de nuestros datos dependerá de quién gane esta carrera tecnológica. La buena noticia es que la misma tecnología que genera el riesgo puede ser la clave de la solución. Si los bancos europeos aceleran su inversión y adoptan una postura proactiva, podrán usar estas herramientas para encontrar sus propias debilidades antes que los atacantes. El mensaje del BCE es sobrio pero necesario: la era de la IA avanzada ya está aquí y la banca no puede permitirse llegar tarde a su propia defensa.
