Mythos y la banca europea: por qué el BCE prepara su respuesta

El Banco Central Europeo ha pedido a las principales entidades de la eurozona que revisen sus planes de contingencia ante Mythos, un modelo de inteligencia artificial de Anthropic con capacidad para detectar vulnerabilidades en software complejo. La preocupación no es que la herramienta pueda derribar por sí sola un banco, sino que acorte el tiempo necesario para descubrir fallos que hasta ahora podían permanecer ocultos, mientras las defensas, los parches y los procesos de supervisión siguen ritmos más lentos.

La diferencia importa. Detectar una grieta no equivale a entrar por ella, y hallar un fallo no significa que se pueda explotar de inmediato. Pero si el mismo tipo de capacidad llega a manos de actores hostiles, aumenta la presión sobre sistemas financieros que dependen de proveedores, programas y redes compartidas. El BCE quiere saber si cada entidad conoce sus puntos débiles y puede mantener los servicios esenciales cuando algo falla: el riesgo central es una carrera de velocidad, no un colapso automático.

La velocidad cambia el equilibrio de la ciberseguridad

Los bancos llevan décadas gestionando riesgos de crédito, mercado, reputación y operación. La novedad es que la inteligencia artificial empieza a intervenir en una fase sensible de la ciberseguridad: la búsqueda de fallos desconocidos, conocidos como vulnerabilidades de día cero. Son errores presentes en un programa que todavía no se han identificado o corregido de forma pública, por lo que las defensas habituales pueden no estar preparadas para ellos. El peligro nace cuando una vulnerabilidad se descubre antes de que el responsable del software pueda repararla.

Encontrar esos defectos solía exigir conocimientos especializados y un trabajo minucioso de análisis. Los modelos avanzados pueden ayudar a revisar código y relacionar indicios con una rapidez difícil de igualar mediante procesos exclusivamente manuales. Eso no elimina la intervención humana ni convierte cada hallazgo en una amenaza práctica, pero sí puede comprimir tareas que antes requerían mucho tiempo. La ventaja defensiva consiste en localizar el problema antes que un atacante; la desventaja, en que un descubrimiento puede abrir una ventana de riesgo si el fallo no se corrige a tiempo.

Por eso las comparaciones con una bomba o con una llave maestra resultan llamativas, pero imprecisas. Mythos no produce un único estallido ni accede automáticamente a todos los sistemas. Se parece más a una herramienta capaz de examinar muchas cerraduras y señalar cuáles están mal instaladas. Algunas no protegen nada importante; otras podrían formar parte de servicios financieros, bases de datos o redes que usan varias entidades. La escala y la velocidad de la revisión son lo que inquieta a los supervisores, no una supuesta capacidad mágica para controlar el sistema bancario.

La experiencia citada en el sector ayuda a entender esa diferencia. Mozilla empleó una versión temprana del modelo para revisar Firefox y, según la información disponible en el material de referencia, identificó y permitió corregir centenares de vulnerabilidades en una versión del navegador. Eso no significa que todos esos fallos fueran críticos ni que pudieran explotarse con facilidad. Sí muestra que una IA puede acelerar la inspección de un producto complejo y sacar a la luz defectos que requieren después revisión técnica y reparación.

Una entidad financiera es una red, no una aplicación

La banca digital que ve el cliente es solo la superficie de una infraestructura mucho más amplia. Una operación desde el móvil puede depender de sistemas de autenticación, plataformas de pago, bases de datos, servicios en la nube y programas internos, además de conexiones con proveedores y otras empresas. En esa arquitectura conviven herramientas recientes y sistemas heredados que llevan años en funcionamiento. Un banco no tiene una sola puerta que proteger, sino una red de dependencias con distintos niveles de antigüedad y control.

Ese entramado explica por qué una vulnerabilidad en un proveedor puede tener consecuencias más allá de una entidad concreta. Si varias organizaciones utilizan el mismo componente de software o dependen del mismo servicio externo, un fallo compartido puede convertirse en un problema común. No implica que todos los bancos vayan a sufrir un ataque ni que una incidencia afecte necesariamente a las cuentas de sus clientes. Significa que la seguridad de cada entidad también depende de piezas que no controla por completo.

Un modelo capaz de encontrar fallos en software empresarial obliga a mirar esa cadena de principio a fin. No basta con conocer los sistemas desarrollados dentro del banco; también hay que entender qué servicios sostienen las operaciones, qué ocurre si uno deja de funcionar y qué medidas permiten aislar una parte comprometida sin paralizar el resto. El mapa de proveedores y conexiones es tan importante como el inventario de los equipos propios.

La velocidad también puede agrandar la distancia entre descubrir un defecto y aplicar una solución. En un programa sencillo, una actualización quizá sea relativamente rápida. En sistemas financieros críticos, un cambio debe probarse para evitar que la corrección provoque nuevos errores o interrumpa operaciones esenciales. Hay dependencias antiguas, ventanas de mantenimiento y servicios que deben seguir disponibles. La inteligencia artificial puede señalar antes dónde mirar, pero no convierte el parcheo en un trámite instantáneo.

Qué podría ocurrir si una vulnerabilidad se explota

El escenario plausible no se parece necesariamente a una intrusión espectacular en la que un atacante toma el control de toda la banca europea de una sola vez. Podría comenzar con un proveedor tecnológico, una conexión mal protegida o un componente común y extenderse a servicios conectados. También puede consistir en ataques dirigidos a una entidad, sin que exista un efecto general. El riesgo sistémico aparece cuando un problema local alcanza una pieza compartida por muchas organizaciones.

Para los clientes, una incidencia de este tipo podría traducirse en dificultades para entrar en la banca móvil, retrasos en transferencias, fallos en pagos con tarjeta o interrupciones de cajeros y canales de atención. Eso no equivale a que el dinero haya desaparecido: puede tratarse de una imposibilidad temporal de consultar o mover fondos mientras se recupera el servicio. Aun así, una interrupción puede causar problemas prácticos y alimentar la incertidumbre si la entidad no explica con claridad qué ha ocurrido y cuánto alcance tiene.

El robo de información es otra posibilidad. Los bancos manejan datos de identidad y contacto, así como información sobre ingresos, préstamos, pagos y hábitos financieros. Si esos datos quedan expuestos, el daño no termina cuando se cierra el acceso al sistema: la información sustraída puede facilitar fraudes posteriores y suplantaciones. Una filtración puede prolongar sus efectos mucho después de que se haya reparado el fallo técnico.

También cabe el sabotaje o la alteración de procesos internos. Un ataque puede intentar impedir operaciones, dificultar la recuperación de sistemas o sembrar dudas sobre la fiabilidad de los registros, sin buscar necesariamente vaciar cuentas. Para una entidad, poder demostrar que los datos y los movimientos son íntegros forma parte de la respuesta. La confianza financiera depende de que los usuarios y las instituciones puedan verificar que los saldos y las transacciones reflejan lo ocurrido.

Entre el hallazgo de una vulnerabilidad y una crisis grave hay varias barreras: controles de acceso, segmentación de redes, copias de seguridad, equipos técnicos y protocolos de continuidad. Ninguna garantiza una protección absoluta, pero pueden limitar el impacto y ayudar a restaurar servicios. La existencia de un modelo potente no permite concluir que un banco vaya a caer; sí hace más importante saber cuánto tardaría en detectar, contener y resolver un incidente.

Por qué el BCE exige planes de contingencia

La intervención del supervisor se inscribe en una preocupación más amplia por la resiliencia operativa digital. La normativa europea DORA exige a las entidades financieras gestionar los riesgos tecnológicos, prestar atención a sus proveedores y prepararse para responder ante incidentes. Mythos no aparece aislado de ese marco: pone a prueba si los procedimientos existentes siguen siendo suficientes cuando la búsqueda de fallos puede acelerarse. La supervisión ya no puede limitarse a preguntar si existe un plan; debe comprobar si la entidad sabe ponerlo en práctica.

Los planes de contingencia tienen que traducirse en decisiones concretas: qué sistemas son esenciales, qué servicios se pueden aislar, quién activa la respuesta y cómo se mantiene la actividad mientras se recupera la infraestructura. También importa si el banco conoce sus dependencias externas y si ha ensayado escenarios que afecten a proveedores. Una carpeta con protocolos no demuestra por sí sola que una organización pueda responder con rapidez; la preparación se mide cuando distintas áreas deben coordinarse bajo presión.

Este asunto tampoco pertenece solo a los departamentos informáticos. Si un incidente puede afectar a pagos, atención al cliente o continuidad del negocio, la dirección debe entender sus consecuencias y asignar responsabilidades. Durante años, la ciberseguridad podía verse como una tarea técnica separada del núcleo financiero. Esa división resulta cada vez menos útil: la capacidad de operar y proteger datos es parte de la estabilidad de una entidad.

La dependencia de terceros añade un desafío para el supervisor. Los bancos recurren a proveedores de nube, software, análisis de datos, identidad y mantenimiento, entre otros servicios. La externalización permite acceder a capacidades especializadas, pero puede concentrar riesgos si muchas entidades confían en los mismos proveedores. La resiliencia no consiste solo en blindar el banco, sino también en entender qué pasa cuando una pieza externa deja de estar disponible o resulta vulnerable.

La cuestión europea incluye además el acceso a herramientas defensivas. Si un grupo reducido de empresas puede probar un modelo avanzado antes que otros, quienes quedan fuera podrían tener menos capacidad para examinar sus sistemas con métodos equivalentes. El debate planteado por responsables europeos, incluido el Bundesbank, es cómo evitar una desventaja tecnológica sin renunciar a controles de seguridad. Regular una herramienta que se desarrolla fuera de Europa no elimina la necesidad de poder defenderse frente a ella.

La exposición de la banca española

Las entidades españolas forman parte de la misma infraestructura financiera internacional. Santander, BBVA, CaixaBank y Sabadell, junto con el resto del sector, dependen de servicios digitales, proveedores y redes que no se detienen en las fronteras nacionales. Su tamaño y presencia internacional pueden aportar recursos y experiencia tecnológica, pero también implican una superficie de exposición amplia. La seguridad de un banco español no depende únicamente de sus sistemas instalados en España.

El Banco de España participa en la supervisión nacional dentro del marco europeo y, como el resto de las autoridades, debe atender a los riesgos que plantea el uso de inteligencia artificial en las finanzas. Esta tecnología puede apoyar tareas como la detección del fraude o el análisis de información, pero también plantea cuestiones de gobernanza, seguridad y dependencia. En el caso de Mythos, el foco está en la posibilidad de que una herramienta defensiva encuentre debilidades que un actor malicioso también quisiera localizar.

Para el usuario, la parte más visible de esta cadena es la aplicación bancaria, el pago con el móvil o una alerta antifraude. Detrás hay servidores, permisos, bases de datos, proveedores y equipos que mantienen los servicios. Cuando todo funciona, esa complejidad queda oculta; cuando una pieza falla, se hace evidente que una operación cotidiana dependía de una cadena extensa. La comodidad digital descansa sobre trabajo técnico que casi nunca se ve.

Los fraudes por suplantación, los mensajes falsos, las llamadas que aparentan proceder de un banco y las páginas clonadas ya forman parte del panorama de la ciberdelincuencia. Mythos no origina esas prácticas ni significa que vayan a desaparecer o multiplicarse automáticamente. Pero la automatización de capacidades puede facilitar que actores maliciosos preparen ataques más precisos. La protección de los sistemas bancarios y la prevención del engaño a los clientes son problemas relacionados, aunque no idénticos.

La misma capacidad puede servir para defender

Mythos plantea un dilema porque las capacidades que hacen más eficaz la búsqueda de fallos pueden utilizarse para reducirlos antes de que alguien los aproveche. Ignorar estas herramientas no elimina las vulnerabilidades. Si los defensores no pueden examinar sus sistemas con suficiente rapidez, pueden quedarse atrás frente a atacantes que empleen métodos automatizados. La IA es un arma de doble uso: puede ampliar la capacidad de inspección y, a la vez, elevar el riesgo de abuso.

En un entorno defensivo, modelos avanzados pueden ayudar a revisar código, analizar sistemas heredados, simular ataques y ordenar las alertas según su importancia. La utilidad no consiste en acumular avisos, sino en identificar cuáles afectan a sistemas críticos y requieren atención prioritaria. Una herramienta puede encontrar numerosos defectos, pero los equipos humanos deben comprobarlos, entender su contexto y decidir cómo reducir el riesgo sin interrumpir servicios esenciales.

Ese paso de la detección a la reparación es uno de los límites menos visibles del debate. Una vulnerabilidad recién identificada puede exigir cambios en programas utilizados por distintos equipos o proveedores. Antes de aplicarlos, hay que comprobar que la corrección no rompa otras funciones. En una entidad financiera, actualizar a toda velocidad sin pruebas también puede causar interrupciones. Acelerar el diagnóstico no elimina la complejidad de reparar sistemas que deben seguir funcionando.

El acceso a herramientas y especialistas tampoco está repartido por igual. Los grandes bancos pueden disponer de más recursos para reforzar sus defensas, mientras que entidades medianas y proveedores pequeños pueden tener menos margen. Sin embargo, un banco puede depender de empresas auxiliares que gestionan datos o conexiones sensibles. Por eso, proteger solo las organizaciones más grandes dejaría puntos débiles en una cadena que también incluye a quienes les prestan servicios.

El reto para Europa es combinar acceso controlado, supervisión y cooperación sin bloquear el uso defensivo de la tecnología. La ciberseguridad financiera depende de que las entidades compartan información relevante y de que los supervisores comprendan qué capacidades están disponibles. También exige que los responsables de cada banco no deleguen toda la conversación en especialistas técnicos. La gobernanza importa tanto como la herramienta: alguien debe decidir qué se prueba, qué se corrige y cómo se responde.

La confianza depende de la capacidad de respuesta

La alerta del BCE no implica que Mythos vaya a tumbar bancos ni que exista una fecha para un colapso. Su importancia está en que obliga a revisar una realidad previa: el sistema financiero depende de software, el software puede tener fallos y el tiempo para descubrirlos y repararlos condiciona el daño posible. La tecnología cambia la velocidad de esa carrera, pero no borra las defensas ni convierte cada vulnerabilidad en una catástrofe.

Un banco no puede ser invulnerable. Sí puede prepararse para detectar antes, contener un incidente y recuperar sus servicios de forma ordenada. Eso supone saber qué sistemas son prioritarios, entender la dependencia de proveedores y practicar la respuesta, no limitarse a redactarla. La resiliencia se demuestra en la continuidad de las operaciones y en la claridad con que se informa, especialmente cuando los clientes no pueden acceder a un servicio que suelen dar por hecho.

Lo más probable es que el efecto de Mythos se note primero en la presión para reforzar inversiones, revisar sistemas y reconsiderar cómo se comparte el acceso a herramientas defensivas. El mayor riesgo no es una inteligencia artificial que decida por sí sola derribar la banca, sino una diferencia creciente entre la rapidez con que se encuentran las debilidades y la capacidad de corregirlas. Esa brecha es la que el supervisor intenta medir.

La confianza financiera no se recupera con una actualización nocturna si los usuarios no saben qué ha fallado o cuánto durará la interrupción. Depende de código seguro, proveedores controlados, planes probados y respuestas comprensibles. Mythos no inventa las grietas del sistema: hace más urgente localizarlas antes de que otro las encuentre. Ahí está el examen para la banca europea y para quienes supervisan su estabilidad.