ECB izsauc 111 bankas MI riska dēļ

Kad programmatūras uzņēmums izlaiž drošības ielāpu, bankām tā ieviešana parasti prasa dienas vai nedēļas. Uzbrucēji šajā laikā analizē ielāpu, lai saprastu, kādu kļūdu tas labo, un mēģina izmantot vēl neaizsargātās sistēmas. Šis logs strauji sarūk. „Anthropic” jaunais mākslīgā intelekta modelis Claude Mythos spēj pārvērst ielāpu par strādājošu uzbrukuma rīku 30 minūtēs. Pirmdien Eiropas Centrālā banka sasauca 111 lielākās eirozonas bankas uz ārkārtas sanāksmi.

Mašīna, kas domā kā hakeris

Iepriekšējie MI drošības rīki vairāk līdzinājās koda pareizrakstības pārbaudītājiem: tie atzīmēja zināmus kļūdu modeļus. Claude Mythos dara ko citu. Tas lasa programmatūras arhitektūru un atrod nepilnības, kas vēl nav klasificētas. Pēc tam tas savieno vairākas nelielas ievainojamības pilnā uzbrukuma ķēdē, kā to darītu pieredzējis drošības pētnieks.

Rezultāti skaidro, kāpēc uzraugi reaģē tik ātri. Modelis pirmajā mēģinājumā izveidoja strādājošus ekspluatācijas rīkus 83 % gadījumu. Ja uzbrukums neizdevās, tas pats pārskatīja pieeju un mēģināja vēlreiz. Apvienotās Karalistes MI drošības institūts modeli pārbaudīja ekspertu līmeņa kiberdrošības uzdevumos. Tas izpildīja 73 % no tiem, kļūstot par pirmo MI modeli, kas sasniedzis šādu robežu.

„Anthropic” uzskata modeli par pārāk riskantu publiskai izlaišanai. Piekļuve dota aptuveni 50 pārbaudītām organizācijām programmā „Project Glasswing”. Pirmajā mēnesī programmas partneri atrada vairāk nekā 23 000 iespējamu ievainojamību vairāk nekā 1 000 atvērtā koda projektos, no kurām 1 094 tika apstiprinātas kā augstas vai kritiskas bīstamības ievainojamības. Problēma vairs nav tikai ievainojamību atrašana. Drošības komandām jāspēj tās izvērtēt un salabot tempā, ko līdz šim noteica cilvēki, nevis mašīnas.

Eiropas bankas atpaliek no jaunās spēju robežas

JPMorgan Chase, Goldman Sachs un citām ASV bankām jau ir piekļuve „Glasswing”, un tās izmanto Mythos, lai meklētu un labotu savas ievainojamības. Nevienai Eiropas bankai šādas piekļuves nav. ES sarunas ar „Anthropic” par piekļuvi Eiropas institūcijām esot iestrēgušas. Francijas MI uzņēmums „Mistral” savu ievainojamību noteikšanas rīku pozicionē kā suverēnu alternatīvu, taču neatkarīgu salīdzinošu testu vēl nav.

ECB Uzraudzības valdes priekšsēdētājas vietnieks Franks Eldersons steidzamību raksturoja muzikālā valodā: bankām ielāpu ieviešanā jāpāriet no „andante” uz „presto”. Viņš brīdināja, ka „piekļuves neesamība modelim nav attaisnojums bezdarbībai”, jo ļaunprātīgi spēlētāji līdzīgas spējas, visticamāk, varēs atkārtot dažu mēnešu laikā. Vācijas finanšu uzrauga BaFin prezidents Marks Bransons paziņoja par jaunām „IT-Spotlight” pārbaudēm, kurām jābūt ātrākām un biežākām nekā tradicionālajām inspekcijām. Nīderlandes bankas ING un ABN AMRO jau sākušas saīsināt laiku no ievainojamības atklāšanas līdz ielāpa ieviešanai.

Regulējuma spiediens ir reāls un jau pārbaudīts

ECB rīcībā ir instrumenti. DORA, ES Digitālās darbības noturības akts, ir saistošs kopš 2025. gada janvāra. Tas prasa bankām pārbaudīt aizsardzības spējas un četru stundu laikā ziņot par būtiskiem kiberincidentiem. ES Mākslīgā intelekta akta noteikumi augsta riska sistēmām stājas spēkā 2. augustā, uzliekot papildu pienākumus MI izmantošanai kredītreitingu noteikšanā vai riska novērtēšanā. Noteikumu neievērošana var nozīmēt kapitāla prasību palielināšanu, uzņēmējdarbības ierobežojumus vai sodus līdz 10 % no gada globālā apgrozījuma.

ECB iedarbīgākais instruments, iespējams, jau ir pārbaudīts. Tās 2024. gada kiberstresa tests neparedzēja formālus sodus, tomēr bankas, kas nonāca pastiprinātā uzraudzības uzmanībā, kiberdrošības izdevumus palielināja vidēji par 45 %. Atpalicējas tos palielināja par 81 %. Uzraudzības spiediens pats par sevi mainīja banku rīcību.

Eiropas bankām tagad jālabo sistēmas, pirms uzbrucēji sāk izmantot tāda paša tipa MI spējas. ECB cenšas saīsināt laiku starp ievainojamības atklāšanu un tās novēršanu, jo šādi rīki, visticamāk, nepaliks tikai kontrolētās pētniecības programmās.