Fed與財政部長為何緊急約見銀行CEO？一個正在逼近的AI網安風暴

一場非比尋常的緊急會議

如果你有在關注華爾街的消息，這禮拜應該被這則新聞稍微辣了一下眼睛：美國聯準會主席鮑威爾（Jerome Powell）與財政部長貝森特（Scott Bessent）突然跳過例行簡報，直接把美國最大銀行的執行長們找進一個房間，談的不是利率、不是通膨，而是一個聽起來有點抽象但實際上極度致命的話題——AI驅動的網路安全風險。

這則新聞之所以值得注意，不是因為它上了版面，而是因為它的時機點。就在同一個禮拜，美國政府才剛宣布終止與AI公司Anthropic的政府合約，國防部也把Anthropic列為黑名單。但轉個頭，財政部與聯準會卻告訴這些銀行業的大老闆們：「你們最好趕快準備好，這東西真的很危險。」

這種「一手切斷合作、一手警告風險」的矛盾操作，背後到底在玩什麼把戲？讓我們把時間線拉出來，好好看清楚。

Mythos：找到了上千個還沒修補的破洞

這一切的核心，要從Anthropic最新發布的模型Mythos說起。根據Anthropic自己的官方文件，Mythos這個模型（你可以把它想成是AI界的最新超級武器）實際上做的事情是：找出市面上各種軟體系統的資安破洞——而且不是隨便找到一兩個，是找到了「數千個」高嚴重性的漏洞。

這些破洞涵蓋了什麼範圍？根據Anthropic的系統說明書，Mythos能夠找到：

• 所有主要作業系統（从Windows到Linux，從iOS到Android）的零日漏洞
• 所有主要網頁瀏覽器（Chrome、Firefox、Safari、Edge）的資安弱點
• 而且這些漏洞之中，超過99%都還沒有被修補——也就是說，這些破洞現在還開在那裡

零日漏洞是什麼？簡單來說，就是「只有攻擊者知道、但防禦者不知道」的漏洞。在正常的資安世界裡，發現一個零日漏洞然後開發出攻擊工具，可能要好幾個月甚至一年。但Mythos的能力壓縮了這個時間軸——它可以在短時間內自動找到漏洞並開發出漏洞利用程式。這讓原本需要資安高手花好幾個月做的事情，現在可能只需要幾天。

這也是為什麼Anthropic自己嚇到了，立刻搞了一個叫做「Project Glasswing」的限制發布計劃。他們把Mythos的接觸權限只留給了少數合作夥伴，包括AWS、Apple、Google、Microsoft、Nvidia、JPMorgan等大廠，總共超過50個組織。Anthropic甚至砸了1億美元的使用額度加上400萬美元捐給開源資安組織，就是想要「花錢消災」，讓這些漏洞在被公開之前被修補。

金融系統的致命弱點：大家都用同一把鑰匙

聽到這裡，你可能會問：「所以呢？軟體有漏洞，電腦有問題，關銀行什麼事？」

這就是這整個故事最可怕的地方。我們的金融系統有一個結構性的致命傷：幾乎所有銀行都在共用同一組基礎設施。

讓我給你一個畫面：你知道大部分美國銀行都使用同樣的雲端服務商嗎？他們用同一個支付網路結算交易，用同一個軟體供應商處理日常業務，用同一個清算所處理跨行轉帳。現在，再把上面Mythos的能力放進來看——如果有一個AI模型可以有效地找出並 exploit 所有主要作業系統和瀏覽器的零日漏洞，那麼：一個漏洞，就可以同時打穿整個金融網路的所有節點。這不是「一家銀行被攻擊」的問題，而是「整個金融體系可能同時癱瘓」的系統性風險。

這也是為什麼Treasury（財政部）在2025年1月發布的《金融服務業風險管理計畫》裡，特別把「雲端集中度」、「軟體供應鏈」和「AI新興科技」列為最高優先的產業風險。他們很清楚地寫著：「對共同供應商和軟體的依賴，創造了連鎖故障的條件。」

華盛頓的兩個聲音：一個向左，一個向右

現在回到那個「矛盾」的信號。讓我們把時間線再整理一次：

• 3月2日：財政部、國務院、衛生與公眾服務部聯合宣布停止使用Anthropic產品，理由是總統行政命令
• 3月9日：聯邦總務署（GSA）終止了Anthropic的全政府合約
• 4月8日：聯邦上訴法院駁回阻止國防部將Anthropic列入黑名單的請求
• 同一個禮拜：鮑威爾和貝森特把銀行CEO們找去開會，告訴他們趕快準備好面對AI網安風險

這是什麼神奇的走位？一方面，政府以「國家安全」和「供應鏈風險」為理由，直接斷掉跟Anthropic的合作。另一方面，財政部和聯準會以「金融穩定」為理由告訴銀行業：「Anthropic做出來的這東西，可能會讓你們全部倒楣。」

但仔細看，這其實不矛盾。政府砍掉Anthropic合約，是採購決策——這是單一政府部門的供應鏈管理問題。但Warning Banks，是金融監理決策——這是另一條完全不同的監管管道。兩個部門得出來的結論是一樣的（「這個模型很危險」），但他們走的方向不同：

• 採購線：「我們不讓政府用這個供應商，因為它是國家安全風險」
• 金融穩定線：「你們這些銀行要小心，這個東西可能會對整個金融體系造成系統性傷害」

兩個結論都建立在同一個基礎判斷上：Mythos這種層級的能力，帶來的是真實可衡量的操作後果。

官方早已悄悄佈局：兩年的準備期

如果你以為這一切是突然發生的，那你就錯了。華盛頓在這方面的準備，其實已經進行了快兩年：

• 2024年6月：財政部與金融穩定監督委員會（FSOC）聯合舉辦AI與金融穩定會議，時任部長葉倫點名了「模型供應商和雲端供應商的集中度」是主要風險
• 2024年11月：金融穩定委員會（FSB）發布AI報告，明確列出四大系統性風險通道：第三方依賴與供應商集中度、市場關聯性、網路風險、模型與資料治理失敗
• 2025年1月：財政部發布《金融服務業風險管理計畫》，把AI和軟體供應鏈列為最高優先
• 2025年2月：財政部宣布啟動「公開-私部門 initiative」，專門幫金融機構開發管理AI資安風險的工具
• 2025年3月：財政部與FSOC啟動「AI創新系列」，表示要把AI如何影響金融穩定的洞見，納入未來的監理政策
• 2025年7月：聯準會的網路安全報告把「評估AI風險」列為FBIIC/FSSCC的共同優先

所以當鮑威爾和貝森特在這個禮拜把銀行CEO找進房間時，他們其實是在說：「我們花了兩年建的框架，現在要開始動真格的了。」Mythos讓這個「框架」變成了「操作化」的緊急狀態。

兩個劇本：牛市與熊市

現在問題來了：接下來會怎麼發展？讓我們用兩個情境來推演：

🐂 牛市劇本：AI資安的正面案例

在這個劇本裡，Project Glasswing發揮了作用。Anthropic和它的合作夥伴們在開放訪問之前，成功地找出了Mythos發現的漏洞並修補了它們。銀行業把這次經驗當成一次結構化的資安演習，重新檢視了自己的軟體供應鏈和應變計畫。最重要的是：這成為了第一個正面案例，證明前線AI可以比攻擊者更快找到問題，比傳統滲透測試更有效率。

如果這個劇本成真，我們可能會看到金融機構更主動地引進AI驅動的漏洞掃描工具——不是因為它們喜歡新科技，而是因為監理機構開始期待。

🐻 熊市劇本：失控的軍備競賽

在另一個劇本裡，現實就沒那麼甜美了。更多的前線AI實驗室推出了類似或更強的能力，或者Mythos的披露顯示攻擊時間軸比目前「受控」的公開說法更短。這個時候，財政部、聯準會和監理機構就會從「私人警告」升級到「嚴格監理要求」：

• 軟體來源溯源要求：銀行必須清楚交代他們使用的每個軟體是誰開發的、誰供應的
• 供應商集中度審查：如果銀行過度依賴單一雲端或軟體供應商，可能會被監理機構盯上
• 更嚴格的漏洞回報時間線：發現重大漏洞時，回報給監理機構的期限會變短
• 更高的營運韌性標準：銀行必須證明自己能在共享基礎設施被攻擊時維持運作

IMF的研究顯示，網路攻擊已經佔了金融機構所有資安事件的近20%，而「極端損失」的規模已經膨脹到25億美元。這就是為什麼監理機構沒有在等「真的出事前」才行動——他們已經在說「我們等不起了」。

關鍵變數：差距縮窄的速度

不管是牛市還是熊市，有一個變數是共同的：開放訪問和前線訪問之間的差距縮小得有多快。

Glasswing的前提是「有控制地發布」可以保持足夠的優勢，讓修補速度超過攻擊者的腳步。但這個前提成立的前提是：差距夠大。一旦更多實驗室達到類似的能力 level，這個差距就會開始緊縮——也就是說，攻擊者和防禦者之間的平衡會快速移動。

鮑威爾和貝森特決定緊急召集銀行CEO，傳遞的信號很明確：官方認為這個差距正在快速縮小，而且縮小速度比金融體系現有的網路安全姿勢能吸收的還快。

結語：這是一個分水嶺時刻

如果你只能記住一件事，那就記住這個：這是第一次，美國兩個最重要的經濟官員用行動承認，AI的前線能力已經逼近到可能衝擊金融穩定的程度——而且不是在幾年之後，是現在。

過去兩年的「框架建構」現在已經變成了「緊急動員」。接下來幾個月，我們會看到金融機構開始更認真地檢視自己的軟體供應鏈，監理機構會開始發布更具體的資安期待，而那些還在用「傳統方式」做網路安全的銀行，可能會被監理機構「特別關心」。

這不是結束，這只是開始。當AI找到了漏洞，下一步就是看誰修補得更快——在金融世界裡，這關乎的不是誰技術領先，而是整個系統會不會崩潰。