Europska središnja banka (ESB) zauzela je čvrst stav. U pismu upućenom glavnim direktorima 110 banaka koje izravno nadzire, predsjednica Nadzornog odbora Claudia Buch zahtijeva da banke do 31. listopada dostave detaljan plan za ublažavanje rizika kibernetičke sigurnosti koji proizlaze iz umjetne inteligencije (AI). Pismo, opisano kao pismo s "neobično hitnim" tonom, utvrđuje ovaj zadatak kao "apsolutni prioritet" i odgovornost stavlja isključivo na upravljačka tijela, a ne samo na tehničke timove.
Razlog takve hitnosti nije ništa drugo nego pojava modela umjetne inteligencije sljedeće generacije, poput Mythosa, koji je razvila američka tvrtka Anthropic. Prema Buchu, ovi sustavi sposobni su identificirati softverske ranjivosti neviđenom brzinom, komprimirajući vrijeme između otkrivanja kršenja i njegovog široko rasprostranjenog iskorištavanja . Nadzornik upozorava da ovo nije prolazni rizik, već "strukturna promjena u krajoliku prijetnji".
Prijetnja Mythos i koordinirani odgovor europskih institucija
Anthropic je u travnju priznao da Mythos posjeduje tako napredne programske mogućnosti da je tvrtka odlučila staviti veto na njegovo objavljivanje široj javnosti. Samo mala skupina tehnoloških i financijskih divova, poput Amazona, Googlea, Microsofta i JPMorgan Chasea, ima pristup modelu putem Project Glasswing. Bijela kuća je čak privremeno zabranila njegovu upotrebu stranim državljanima iz razloga nacionalne sigurnosti , iako je zabrana ukinuta početkom srpnja zbog porasta kineske konkurencije, poput modela Zhipu AI.
U tom kontekstu, Europski odbor za sistemske rizike (ESRB) podigao je rizik od sistemskih kibernetičkih napada s "visokog" na "ozbiljan". U izjavi tijelo upozorava da napredniji modeli umjetne inteligencije "daju kibernetičkim kriminalcima prednost" omogućujući im otkrivanje ranjivosti i izvršavanje napada većom brzinom, opsegom i sofisticiranošću . ESRB također napominje da koncentracija pružatelja umjetne inteligencije izvan EU-a izlaže blok strateškoj ovisnosti i geopolitičkim rizicima te stoga potiče koordinirani odgovor koji uključuje banke, sigurnosne tvrtke i programere softvera.
Tri linije obrane i kratki rokovi za banke
Pismo ESB-a nije previše propisno, ali ističe tri ključna područja koja banke moraju ojačati. Prvo je "sigurnost po dizajnu": sprječavanje da softver ima ranjivosti od samog početka . Drugo je ispravljanje svih ranjivosti koje se pojave što je brže moguće putem zakrpa, drastično smanjujući vrijeme sanacije na dane, a ne mjesece. Treće je imati snažne obrane, uključujući sustave za otkrivanje upada, protokole za izolaciju kompromitiranih sustava i mogućnost brzog vraćanja operacija.
Značajne španjolske banke, poput Santandera i BBVA-e, moraju dostaviti svoje planove Zajedničkim nadzornim timovima (JST) do 31. listopada, što ostavlja manje od četiri mjeseca za osmišljavanje, odobravanje i dokumentiranje strategija koje će potom morati ratificirati njihovi upravni odbori. ESB je odlučio odgoditi godišnje prikupljanje Upitnika o tehnološkom riziku do veljače 2027. kako bi banke mogle usmjeriti svoje resurse na ovaj prioritet. Nadalje, nadzornik upozorava da će koristiti sve alate koji su mu na raspolaganju, uključujući potencijalne kazne ili doplatke kapitala, ako otkrije ozbiljne nedostatke.
Buch je također istaknuo da će druge nove tehnologije, poput kvantnog računarstva, imati značajan utjecaj na kibernetičku sigurnost, iako je zasad fokus na umjetnoj inteligenciji. „Iako ovi napredci ne uvode potpuno nove rizike, značajno pojačavaju brzinu i opseg njihove materijalizacije “, upozorava predsjednik Nadzornog odbora. Europske banke stoga se suočavaju s velikim izazovom: zaštititi se od prijetnje koja se razvija brže od njihovih vlastitih tehnoloških odjela, u sporom tempu.