Η ΕΚΤ πιέζει 111 τράπεζες για exploits ΤΝ

Όταν μια εταιρεία λογισμικού δημοσιεύει ενημέρωση ασφαλείας, οι τράπεζες χρειάζονται συνήθως ημέρες ή εβδομάδες για να την εγκαταστήσουν. Στο μεταξύ, οι επιτιθέμενοι αναλύουν αντίστροφα την ενημέρωση, εντοπίζουν το κενό που διορθώνει και προσπαθούν να χτυπήσουν όσα συστήματα παραμένουν εκτεθειμένα. Αυτό το χρονικό περιθώριο φαίνεται πλέον να κλείνει. Το νέο μοντέλο τεχνητής νοημοσύνης της Anthropic, το Claude Mythos, μπορεί να μετατρέψει μια ενημέρωση ασφαλείας σε λειτουργικό τρόπο επίθεσης μέσα σε 30 λεπτά. Τη Δευτέρα, η Ευρωπαϊκή Κεντρική Τράπεζα κάλεσε σε έκτακτη σύσκεψη 111 από τις μεγαλύτερες τράπεζες της ευρωζώνης.

Μια μηχανή που σκέφτεται σαν χάκερ

Τα προηγούμενα εργαλεία κυβερνοασφάλειας με τεχνητή νοημοσύνη λειτουργούσαν κυρίως σαν ορθογραφικοί διορθωτές κώδικα: εντόπιζαν γνωστά μοτίβα σφαλμάτων. Το Claude Mythos κάνει κάτι διαφορετικό. Διαβάζει την αρχιτεκτονική ενός λογισμικού και αναγνωρίζει αδυναμίες που δεν έχουν ακόμη ταξινομηθεί. Στη συνέχεια συνδέει μικρότερες ευπάθειες σε μια πλήρη διαδρομή επίθεσης, όπως θα έκανε ένας έμπειρος ερευνητής ασφαλείας.

Τα αποτελέσματα εξηγούν την ανησυχία των εποπτικών αρχών. Το μοντέλο παρήγαγε λειτουργικές επιθέσεις με την πρώτη προσπάθεια στο 83 τοις εκατό των περιπτώσεων. Όταν μια επίθεση αποτύγχανε, αναθεωρούσε αυτόνομα τη μέθοδό του και δοκίμαζε ξανά. Το Ινστιτούτο Ασφάλειας Τεχνητής Νοημοσύνης του Ηνωμένου Βασιλείου το υπέβαλε σε δοκιμασίες κυβερνοασφάλειας επιπέδου ειδικού. Πέρασε το 73 τοις εκατό, επίδοση που κανένα μοντέλο τεχνητής νοημοσύνης δεν είχε φτάσει μέχρι τώρα.

Η Anthropic θεωρεί το μοντέλο υπερβολικά επικίνδυνο για δημόσια διάθεση. Η πρόσβαση περιορίζεται σε περίπου 50 ελεγμένους οργανισμούς, μέσω του προγράμματος Project Glasswing. Τον πρώτο μήνα λειτουργίας του, οι εταίροι του Glasswing εντόπισαν πάνω από 23.000 πιθανές ευπάθειες σε περισσότερα από 1.000 έργα ανοικτού κώδικα, από τις οποίες 1.094 επιβεβαιώθηκαν ως υψηλής ή κρίσιμης σοβαρότητας. Το πρόβλημα για τις τράπεζες είναι ότι η μηχανή φέρνει στην επιφάνεια κρίσιμα κενά ταχύτερα από όσο οι ομάδες ασφαλείας μπορούν να τα αξιολογήσουν.

Οι ευρωπαϊκές τράπεζες βρίσκονται στη λάθος πλευρά του κενού

Η JPMorgan Chase, η Goldman Sachs και άλλες αμερικανικές τράπεζες έχουν ήδη πρόσβαση στο Glasswing και χρησιμοποιούν το Mythos για να εντοπίζουν και να κλείνουν τις δικές τους ευπάθειες. Καμία ευρωπαϊκή τράπεζα δεν έχει αντίστοιχη πρόσβαση. Η ΕΕ βρίσκεται σε παγωμένες συνομιλίες με την Anthropic για το αν και πώς θα δοθεί πρόσβαση σε ευρωπαϊκούς οργανισμούς. Η γαλλική Mistral προβάλλει το δικό της εργαλείο εντοπισμού ευπαθειών ως κυρίαρχη ευρωπαϊκή εναλλακτική, αλλά προς το παρόν δεν υπάρχουν ανεξάρτητες συγκριτικές δοκιμές.

Ο αντιπρόεδρος του Εποπτικού Συμβουλίου της ΕΚΤ, Φρανκ Έλντερσον, περιέγραψε την πίεση με μουσικούς όρους: οι τράπεζες πρέπει να περάσουν από το «andante» στο «presto» στην εγκατάσταση διορθώσεων ασφαλείας. Προειδοποίησε ότι «η μη πρόσβαση στο μοντέλο δεν αποτελεί δικαιολογία για αδράνεια», επειδή κακόβουλοι δρώντες είναι πιθανό να αναπαραγάγουν παρόμοιες δυνατότητες μέσα στους επόμενους μήνες. Ο πρόεδρος της γερμανικής εποπτικής αρχής BaFin, Μαρκ Μπράνσον, ανακοίνωσε νέους στοχευμένους ελέγχους «IT-Spotlight», οι οποίοι θα είναι ταχύτεροι και συχνότεροι από τις παραδοσιακές επιθεωρήσεις. Οι ολλανδικές τράπεζες ING και ABN AMRO έχουν ήδη αρχίσει να συντομεύουν τον χρόνο από τον εντοπισμό μιας ευπάθειας έως την εγκατάσταση της διόρθωσης.

Η εποπτική πίεση είναι πραγματική και έχει δοκιμαστεί

Η ΕΚΤ έχει εργαλεία. Ο ευρωπαϊκός κανονισμός για την ψηφιακή επιχειρησιακή ανθεκτικότητα, ο οποίος είναι δεσμευτικός από τον Ιανουάριο του 2025, υποχρεώνει τις τράπεζες να δοκιμάζουν τις άμυνές τους και να αναφέρουν σοβαρά κυβερνοπεριστατικά εντός τεσσάρων ωρών. Οι διατάξεις υψηλού κινδύνου της ευρωπαϊκής Πράξης για την Τεχνητή Νοημοσύνη τίθενται σε εφαρμογή στις 2 Αυγούστου, προσθέτοντας υποχρεώσεις για κάθε σύστημα τεχνητής νοημοσύνης που χρησιμοποιείται στην αξιολόγηση πιστοληπτικής ικανότητας ή κινδύνου. Η μη συμμόρφωση μπορεί να οδηγήσει σε πρόσθετες κεφαλαιακές απαιτήσεις, περιορισμούς δραστηριότητας ή πρόστιμα που φτάνουν έως το 10 τοις εκατό των ετήσιων παγκόσμιων εσόδων.

Το αποτελεσματικότερο εργαλείο της ΕΚΤ μπορεί να είναι ήδη δοκιμασμένο. Το τεστ αντοχής κυβερνοασφάλειας του 2024 δεν προέβλεπε επίσημες κυρώσεις, όμως οι τράπεζες που βρέθηκαν υπό έντονη εποπτική παρακολούθηση αύξησαν τις δαπάνες τους για κυβερνοασφάλεια κατά μέσο όρο 45 τοις εκατό, ενώ οι πιο αδύναμοι κρίκοι τις αύξησαν κατά 81 τοις εκατό. Η εποπτεία, ακόμη και χωρίς πρόστιμο, άλλαξε συμπεριφορές.

Οι ευρωπαϊκές τράπεζες πρέπει τώρα να κλείσουν τα κενά των συστημάτων τους πριν οι επιτιθέμενοι αποκτήσουν την ίδια κατηγορία εργαλείων. Η ΕΚΤ δεν προσπαθεί απλώς να επιταχύνει μια τεχνική διαδικασία. Προσπαθεί να προλάβει τη στιγμή που δυνατότητες οι οποίες σήμερα βρίσκονται σε ελεγχόμενα ερευνητικά προγράμματα θα περάσουν στην ελεύθερη χρήση.