Európska centrálna banka (ECB) zaujala pevný postoj. V liste zaslanom generálnym riaditeľom 110 bánk, nad ktorými má priamy dohľad, predsedníčka Rady pre dohľad Claudia Buchová požaduje, aby banky do 31. októbra predložili podrobný plán na zmiernenie kybernetických bezpečnostných rizík vyplývajúcich z umelej inteligencie (AI). List, ktorý je opísaný ako list s „nezvyčajne naliehavým“ tónom, stanovuje túto úlohu ako „absolútnu prioritu“ a zodpovednosť kladie priamo na riadiace orgány, nielen na technické tímy.
Dôvodom takejto naliehavosti nie je nič iné ako vznik modelov umelej inteligencie novej generácie, ako je Mythos, vyvinutý americkou firmou Anthropic. Podľa Bucha sú tieto systémy schopné identifikovať zraniteľnosti softvéru bezprecedentnou rýchlosťou, čím sa skracuje čas medzi odhalením narušenia a jeho rozsiahlym zneužitím . Supervízor varuje, že nejde o prechodné riziko, ale skôr o „štrukturálnu zmenu v hroziebnej krajine“.
Hrozba Mythos a koordinovaná reakcia európskych inštitúcií
Spoločnosť Anthropic v apríli uznala, že Mythos má také pokročilé programovacie schopnosti, že sa rozhodla vetovať jeho sprístupnenie širokej verejnosti. Prístup k modelu prostredníctvom projektu Glasswing má iba malá skupina technologických a finančných gigantov, ako sú Amazon, Google, Microsoft a JPMorgan Chase. Biely dom dokonca dočasne zakázal jeho používanie cudzími štátnymi príslušníkmi z dôvodov národnej bezpečnosti , hoci zákaz bol začiatkom júla zrušený kvôli nárastu čínskej konkurencie, ako napríklad modelu Zhipu AI.
V tejto súvislosti Európska rada pre systémové riziká (ESRB) zvýšila riziko systémových kybernetických útokov z „vysokého“ na „závažné“. Vo vyhlásení orgán varuje, že pokročilejšie modely umelej inteligencie „dávajú kyberzločincom výhodu“ tým, že im umožňujú odhaľovať zraniteľnosti a vykonávať útoky s väčšou rýchlosťou, rozsahom a sofistikovanosťou . ESRB tiež poznamenáva, že koncentrácia poskytovateľov umelej inteligencie mimo EÚ vystavuje blok strategickej závislosti a geopolitickým rizikám, a preto nalieha na koordinovanú reakciu, do ktorej budú zapojené banky, bezpečnostné firmy a vývojári softvéru.
Tri obranné línie a prísne termíny pre banky
List ECB nie je príliš normatívny, ale zdôrazňuje tri kľúčové oblasti, ktoré musia banky posilniť. Prvou je „bezpečnosť už v štádiu návrhu“: predchádzanie zraniteľnostiam softvéru už od samého začiatku . Druhou je čo najrýchlejšia oprava akýchkoľvek zraniteľností, ktoré sa objavia, prostredníctvom záplat, čím sa drasticky skráti čas nápravy na dni, nie mesiace. Treťou je zavedenie robustnej obrany vrátane systémov detekcie narušenia, protokolov na izoláciu napadnutých systémov a schopnosti rýchlo obnoviť prevádzku.
Významné španielske banky, ako napríklad Santander a BBVA, musia predložiť svoje plány spoločným dohliadacím tímom (JST) do 31. októbra, čo im zostáva menej ako štyri mesiace na navrhnutie, schválenie a zdokumentovanie stratégií, ktoré potom budú musieť ratifikovať ich správne rady. ECB sa rozhodla odložiť ročný zber Dotazníka o technologických rizikách do februára 2027, aby banky mohli sústrediť svoje zdroje na túto prioritu. Orgán dohľadu ďalej varuje, že v prípade zistenia závažných nedostatkov použije všetky dostupné nástroje vrátane prípadných pokút alebo kapitálových prirážok.
Buch tiež poukázal na to, že ďalšie vznikajúce technológie, ako napríklad kvantové výpočty, budú mať významný vplyv na kybernetickú bezpečnosť, hoci zatiaľ sa pozornosť zameriava na umelú inteligenciu. „Hoci tento pokrok neprináša úplne nové riziká, výrazne zvyšuje rýchlosť a rozsah, v akom sa prejavuje ,“ varuje predseda Rady pre dohľad. Európske banky preto čelia veľkej výzve: chrániť sa pred hrozbou, ktorá sa vyvíja rýchlejšie ako ich vlastné technologické oddelenia, v časovom horizonte.