Kako bi AI mogao ugroziti banke i financijski sustav?

Na prvi pogled, to zvuči kao specijalizirana tema, nešto što zanima samo najtvrdokornije IT entuzijaste: jedna nova umjetna inteligencija (AI) pronalazi slabosti u softveru brže nego ikada prije. Međutim, upravo to u globalnom financijskom sustavu može postati ozbiljan rizik za njegovu stabilnost. Banke, burze, pružatelji platnih usluga i osiguravajuća društva ovise o pouzdanom i sigurnom softveru.

Ako umjetna inteligencija sada brže otkriva sigurnosne propuste, onda ih kriminalci također mogu brže iskoristiti. Stručnjaci već govore o sistemskom riziku za globalni financijski sustav.

Povod za raspravu je Claude Mythos – novi vrhunski AI model američke tvrtke Anthropic. U pokusnim okruženjima već je otkrio tisuće izuzetno kritičnih sigurnosnih propusta u softveru, takozvane „zero-day“ ranjivosti, koje su prethodno desetljećima bile neotkrivene. Osim toga, model je sposoban samostalno programirati kompleksne kibernetičke napade.

Zašto regulatori upozoravaju na rizike umjetne inteligencije

Europska središnja banka (ESB) u tome vidi ozbiljnu prijetnju za financijski sustav te je nedavno čak sazvala hitni sastanak europskih banaka. Odbor za financijsku stabilnost (FSB), ključni međunarodni nadzornik financijske stabilnosti skupine G20, govori o „novim i naprednim rizicima za globalnu financijsku stabilnost“.

I Međunarodni monetarni fond (MMF) u AI modelima poput Mythosa vidi opasnost za globalni financijski sustav te upozorava na „potencijalni makrofinancijski šok“. Prema analizi MMF-a, ekstremni gubici izazvani kibernetičkim incidentima mogli bi dovesti do problema u financiranju, potaknuti sumnje u solventnost financijskih institucija i izazvati šire poremećaje na tržištima.

Dovoljno je zamisliti da tako moćan UI model poput Mythosa „cilja" na globalnu bankarsku infrastrukturu – primjerice središnji komunikacijski sustav SWIFT, putem kojeg banke diljem svijeta sigurno razmjenjuju naloge za plaćanje i druge financijske poruke.

Moguća šteta bila bi ogromna. Napadači bi mogli manipulirati platnim tokovima u milijardama – i uništiti povjerenje u banke i financijski sustav. Sama tvrtka Anthropic svoj novi model umjetne inteligencije smatra preopasnim te ga zasad drži uglavnom „pod ključem", ali radi na tome da ga u nadolazećim tjednima učini dostupnim svim klijentima.

Project Glasswing treba zaštititi kritičnu IT-infrastrukturu

Za sada samo odabrane tvrtke i organizacije imaju kontrolirani pristup Claudeu Mythosu u okviru „Project Glasswing". Među njima su Amazon, Microsoft, Apple, Google, Nvidia i JPMorgan Chase. Cilj je brže identificirati i otkloniti sigurnosne ranjivosti u kritičnoj softverskoj infrastrukturi.

Nije slučajno da stručnjaci Mythos nazivaju klasičnom „dual-use tehnologijom“: novi UI model nije samo potencijalno ultimativno kibernetičko oružje, već i najmoćniji alat za obranu od kibernetičkih napada.

Planira se da i Agencija Europske unije za kibernetičku sigurnost (ENISA) dobije pristup modelu Mythos tvrtke Anthropic. No konkretni uvjeti još se moraju dogovoriti, priopćeno je u ponedjeljak. Do tada europske banke ostaju izvan tog sustava – no, prema mišljenju stručnjaka, djelovati moraju već sada.

Banke u eurozoni moraju više ulagati u kibernetičku sigurnost, uvjeren je Luis de Guindos. „Moramo nastojati povećati svijest financijskih institucija, banaka, o potrebi dodatnih ulaganja u kibernetičku sigurnost“, naglašava potpredsjednik ESB-a na odlasku.

Banke moraju brže zatvarati sigurnosne propuste

Prema stručnjacima, ključnu ulogu imaju takozvani „patch-gapovi“, odnosno razdoblje između otkrivanja i zatvaranja sigurnosne rupe. Za njihovo uklanjanje banke su si dosad ponekad uzimale i više tjedana – pristup koji bi u novoj eri umjetne inteligencije mogao otvoriti vrata kibernetičkom kriminalu u velikom stilu.

To za banke znači i veća ulaganja u ljudske resurse: „Banke sada moraju izdvajati više novca kako bi zaposlile stručnjake koji će te rupe zatvoriti što je brže moguće“, naglašava Daniel Kröger, portfelj menadžer u društvu za upravljanje imovinom DWS, u razgovoru za ARD-Finanzredaktion (financijska redakcija javnog servisa ARD-a, nap. red.)

Vrijeme je presudno: jer nije riječ samo o Anthropicu i modelu Claude Mythos Preview, već i o usporedivim UI sustavima koji bi uskoro mogli biti dostupni pojedinim kriminalnim akterima ili državama poput Rusije i Kine.

Logan Graham, šef vodećeg tima za IT sigurnost u Anthropicu (Frontier Red Team Lead), upozorio je u američkom magazinu Wired: „Moramo se sada pripremiti za svijet u kojem će ove sposobnosti biti široko dostupne za 6, 12 ili 24 mjeseca.“

Umjetna inteligencija postaje stres-test za banke i regulatore

AI model Mythos tvrtke Anthropic alarm je za buđenje – za banke, kompanije i regulatore. U pitanju nije ništa manje nego stabilnost globalnog financijskog sustava. Već je financijska kriza 2008. godine pokazala: često je dovoljna i sama sumnja ili glasina da bi neka banka mogla imati probleme kako bi izazvala velike poremećaje na tržištu.

Nevjerojatne sposobnosti Claudea Mythosa signal su da se obrambeni sustavi moraju hitno (p)ojačati. Europske banke pritom moraju paziti da ne zaostanu: Project Glasswing zasad američkim institucijama daje vremensku prednost u procesu „zatvaranja" sigurnosnih rupa.

Međunarodna suradnja između onih koji rade na razvoju umjetne inteligencije, banaka, kompanija i regulatora sada je potrebnija nego ikad. Jer kibernetički kriminal ne poznaje granice – baš kao što granice ne poznaju ni financijske krize.