Mythos Ready è la practice di Hyperion che prepara banche e intermediari finanziari agli attacchi informatici condotti con Mythos e con i modelli AI di frontiera che verranno. La vigilanza vi chiederà se siete pronti: vi aiutiamo a rispondere di sì, con le prove.
La readiness agli attacchi condotti con l'AI è entrata nell'agenda della BCE e di Banca d'Italia, con due scadenze: il 31 ottobre 2026 per le banche significative e il 31 dicembre 2026 per banche meno significative e intermediari. Cosa chiedono le due autorità.
Anthropic ha presentato Mythos ad aprile 2026 e lo usa per trovare vulnerabilità nel software critico. Da giugno l'accesso è esteso a circa 150 organizzazioni in più di 15 Paesi, Italia compresa.
Fonte: Milano Finanza
Il vicepresidente della vigilanza Frank Elderson ha detto che la mancanza di accesso a Mythos non giustifica l'inazione, e che le banche devono accelerare molto il rilascio delle patch.
Fonti: Reuters via Yahoo Finance, Irish Times
La BCE ha indicato che la readiness cyber-AI sarà discussa con le singole banche, non solo a livello di sistema.
Fonte: The Next Web
Le banche restano responsabili della sicurezza dei propri fornitori ICT, coerentemente con il regime DORA sulle terze parti. Per chi esternalizza l'IT è il punto più delicato.
Il cambio di paradigma: vulnerabilità minori che oggi si correggono nei cicli di rilascio lunghi diventano sfruttabili in giorni, perché un modello può combinarle e ricavare exploit dalle patch pubblicate.
Gli istituti che esternalizzano l'IT rispondono alla vigilanza come le grandi banche, ma hanno meno controllo diretto sui sistemi. Il referente è di solito il CISO o il responsabile IT.
Sistemi presso outsourcer e poca visibilità sui tempi di patch. Si parte dal Mythos Ready Check.
Codice legacy e cicli di rilascio lunghi. Check, poi Sprint di remediation.
Team IT piccoli e obblighi DORA pieni. Check su un perimetro ridotto.
Audit in arrivo da tutte le banche clienti. Sprint e servizio continuativo.
Il Check apre la relazione, lo Sprint risolve, il Continuous mantiene l'istituto pronto a ogni nuovo modello.
Gap analysis su superficie d'attacco, codice legacy, tempi di patch e fornitori ICT critici, mappata su DORA e sulle attese della BCE.
Triage e remediation con code review assistita da Claude, ridisegno del patch management sui processi ITSM, audit dei fornitori e clausole sui tempi di remediation.
Scansione continua delle vulnerabilità, KPI di patch velocity e aggiornamento a ogni rilascio di modelli più capaci.
Cosa non promettiamo: l'accesso a Mythos per conto del cliente. Mythos Ready è un servizio di consulenza e remediation, non la rivendita di modelli AI.
Il Mythos Readiness Score riassume da 0 a 100 la preparazione dell'istituto su sei dimensioni. Si calcola nel Check e si aggiorna nel servizio continuativo.
Tempo medio tra la pubblicazione di una vulnerabilità e la correzione in produzione, per gravità.
Servizi raggiungibili da Internet, componenti obsoleti, configurazioni deboli.
Quota di codice non manutenuto, dipendenze vulnerabili, presenza di SBOM.
Clausole sui tempi di remediation, evidenze di test, diritto di audit.
Capacità di individuare e contenere attacchi rapidi e automatizzati.
Ruolo del CdA, reporting, allineamento a DORA.
Esposta. Priorità immediata: lo Sprint è consigliato.
Parziale. Gap rilevanti su una o due dimensioni.
Mythos Ready. Da mantenere con il servizio continuativo.
Membri del Claude Partner Network, con un percorso di certificazione in corso sul team.
Anni di progetti nel mondo degli outsourcer bancari italiani e nella gestione di servizi di sicurezza in grandi gruppi bancari.
Certificazioni PMP, PRINCE2 e ITIL ed esperienza sulle principali piattaforme ITSM, per portare la patch velocity dentro i flussi esistenti.
Scansione continua e KPI di patch velocity rendono verificabile il servizio, con gli strumenti più adatti al contesto dell'istituto.
Abbastanza specializzati per il tema, abbastanza agili per istituti che le grandi società di consulenza considerano troppo piccoli.
Mythos Ready è la practice di Hyperion S.r.l. che prepara banche e intermediari finanziari agli attacchi informatici condotti con Mythos, il modello AI di Anthropic, e con i modelli di frontiera che verranno. Comprende un readiness check mappato su DORA e sulle attese della BCE, la remediation delle vulnerabilità e un servizio continuativo che misura la patch velocity nel tempo.
Perché le autorità hanno già fissato le scadenze: la BCE ha chiesto alle banche significative un piano d'azione contro le minacce cyber abilitate dall'AI entro il 31 ottobre 2026, e Banca d'Italia ha chiesto a banche meno significative e intermediari una relazione con piano di lavoro entro il 31 dicembre 2026. La BCE ha anche chiarito che la mancanza di accesso diretto a Mythos non giustifica l'inazione. I modelli di frontiera trovano e combinano vulnerabilità molto più in fretta: correzioni che oggi aspettano cicli di rilascio lunghi diventano urgenti.
No. Mythos Ready è un servizio di consulenza e remediation, non la rivendita di modelli AI né l'accesso a Mythos per conto del cliente. Per l'analisi e la correzione del codice Hyperion usa i modelli Claude disponibili, in linea con l'indicazione della BCE di usare gli strumenti già esistenti.
È un punteggio da 0 a 100 che riassume la preparazione dell'istituto in sei dimensioni: patch velocity, superficie esposta, codice e legacy, fornitori ICT, rilevamento e risposta, governance. Da 0 a 39 l'istituto è esposto, da 40 a 69 la preparazione è parziale, da 70 a 100 è Mythos Ready. È pensato per essere letto dal CdA e confrontato nel tempo.
A banche medio-piccole, BCC, banche popolari, SIM, SGR e istituti di pagamento, in particolare a chi esternalizza l'IT, e agli outsourcer IT bancari che dovranno rispondere agli audit delle banche clienti. Il referente è di solito il CISO o il responsabile IT.
Il Mythos Ready Check mappa i risultati sui requisiti DORA, compreso il regime sui fornitori ICT terzi: la banca resta responsabile della sicurezza dei propri outsourcer, e lo Sprint aggiorna i contratti con clausole sui tempi di remediation, evidenze di test e diritto di audit.
Da 3 a 4 settimane. Si chiude con un report per il CdA e per la vigilanza, il Mythos Readiness Score e una roadmap di rientro con le priorità.
Scriveteci per capire da dove partire: un Mythos Ready Check sul vostro perimetro, o un confronto sulle domande che la vigilanza vi farà.
Mythos e Claude sono modelli di Anthropic. Hyperion è membro del Claude Partner Network.