Στο επίκεντρο βρίσκονται τα λεγόμενα frontier AI, δηλαδή η νέα γενιά των πλέον ισχυρών μοντέλων τεχνητής νοημοσύνης.

Μέχρι σήμερα, μια σύνθετη κυβερνοεπίθεση απαιτούσε σημαντικό χρόνο, εξειδικευμένες γνώσεις και ανθρώπινο δυναμικό. Η νέα γενιά AI μπορεί όμως να μειώσει δραστικά αυτά τα εμπόδια. Τα προηγμένα μοντέλα έχουν τη δυνατότητα να εντοπίζουν ευπάθειες σε πληροφοριακά συστήματα, να παράγουν κώδικα που μπορεί να αξιοποιηθεί σε επιθέσεις, να αυτοματοποιούν διαδικασίες και να προσαρμόζουν τις ενέργειές τους ανάλογα με τις συνθήκες που αντιμετωπίζουν.

Αυτό ακριβώς είναι που οι ευρωπαϊκές αρχές θεωρούν ότι δημιουργεί μια νέα κατηγορία κινδύνου.

Το «καμπανάκι» του ESRB

Το Ευρωπαϊκό Συμβούλιο Συστημικού Κινδύνου (ESRB) προειδοποίησε στις αρχές του μήνα ότι η τεχνητή νοημοσύνη μπορεί να οδηγήσει σε μια «παραδειγματική αλλαγή» στις δυνατότητες των κυβερνοεπιτιθέμενων.

Η βασική ανησυχία δεν αφορά απλώς το γεγονός ότι οι επιθέσεις μπορούν να γίνουν πιο εξελιγμένες. Το κρίσιμο στοιχείο είναι ότι η AI μπορεί να μειώσει σημαντικά το κόστος και τον χρόνο που απαιτούνται για την προετοιμασία μιας επίθεσης και ταυτόχρονα να αυξήσει θεαματικά την ταχύτητα και την κλίμακά της.

Ένας επιτιθέμενος μπορεί πλέον να χρησιμοποιήσει AI για να αναλύσει τεράστιους όγκους δεδομένων, να εντοπίσει αδυναμίες σε λογισμικό και δίκτυα, να αυτοματοποιήσει μέρος της διαδικασίας και να προσαρμόσει την επίθεση πολύ ταχύτερα από ό,τι στο παρελθόν.

Με άλλα λόγια, η τεχνολογία που μπορεί να αποτελέσει ένα εξαιρετικά ισχυρό εργαλείο άμυνας μπορεί ταυτόχρονα να αποτελέσει και ένα εξαιρετικά ισχυρό εργαλείο επίθεσης.

Η ΕΚΤ περνά από την προειδοποίηση στην πράξη

Η ανησυχία δεν περιορίζεται πλέον σε θεωρητικό επίπεδο.

Ακολούθησε αντίστοιχη προειδοποίηση από τις τρεις ευρωπαϊκές εποπτικές αρχές, την Ευρωπαϊκή Αρχή Τραπεζών (EBA), την Ευρωπαϊκή Αρχή Κινητών Αξιών και Αγορών (ESMA) και την Ευρωπαϊκή Αρχή Ασφαλίσεων και Επαγγελματικών Συντάξεων (EIOPA).

Παράλληλα, η Ευρωπαϊκή Κεντρική Τράπεζα ζήτησε από τις συστημικές τράπεζες της Ευρωζώνης να υποβάλουν έως το τέλος Οκτωβρίου συγκεκριμένα σχέδια αντιμετώπισης των νέων απειλών που δημιουργεί η τεχνητή νοημοσύνη.

Οι απαιτήσεις αφορούν, μεταξύ άλλων:

την καλύτερη προστασία των πληροφοριακών συστημάτων που είναι εκτεθειμένα στο Διαδίκτυο,

την ταχύτερη αντιμετώπιση και αποκατάσταση ευπαθειών,

τον εκσυγχρονισμό παλαιών πληροφοριακών συστημάτων,

την ενίσχυση των μηχανισμών διαχείρισης κρίσεων,

τη βελτίωση της ανταλλαγής πληροφοριών για κυβερνοαπειλές.

Η εξέλιξη αυτή είναι ιδιαίτερα σημαντική, καθώς δείχνει ότι η AI περνά πλέον από τη σφαίρα της τεχνολογικής καινοτομίας στο πεδίο της εποπτείας και της διαχείρισης συστημικού κινδύνου.

Από έναν χάκερ σε ένα αυτοματοποιημένο «σύστημα επίθεσης»

Το πρόβλημα που βλέπουν οι εποπτικές αρχές είναι η δυνατότητα πολλαπλασιασμού των επιθέσεων.

Ένας παραδοσιακός χάκερ χρειαζόταν χρόνο για να αναγνωρίσει μια αδυναμία, να κατανοήσει το πληροφοριακό σύστημα, να αναπτύξει τον κατάλληλο κώδικα και να οργανώσει την επίθεση.

Τα σύγχρονα μοντέλα τεχνητής νοημοσύνης μπορούν να επιταχύνουν σημαντικά κάθε ένα από αυτά τα στάδια.

Αυτό σημαίνει ότι μια επίθεση που στο παρελθόν απαιτούσε μεγάλη εξειδίκευση και σημαντικούς ανθρώπινους πόρους μπορεί να γίνει πιο εύκολα προσβάσιμη και να πραγματοποιηθεί σε πολύ μικρότερο χρονικό διάστημα.

Το αποτέλεσμα είναι διπλό: χαμηλότερο κόστος επίθεσης και μεγαλύτερη δυνατότητα κλιμάκωσης.

Και ακριβώς αυτή η δυνατότητα κλιμάκωσης είναι που προκαλεί ανησυχία για το χρηματοπιστωτικό σύστημα.

Το πρόβλημα της μεγάλης διασύνδεσης

Οι τράπεζες δεν λειτουργούν πλέον ως απομονωμένες ψηφιακές μονάδες.

Το σύγχρονο χρηματοπιστωτικό σύστημα στηρίζεται σε ένα πολύπλοκο δίκτυο κοινών τεχνολογικών υποδομών. Τράπεζες, ασφαλιστικές εταιρείες, εταιρείες πληρωμών και άλλοι χρηματοπιστωτικοί οργανισμοί χρησιμοποιούν σε σημαντικό βαθμό τους ίδιους παρόχους cloud, τις ίδιες πλατφόρμες λογισμικού και κοινές ψηφιακές υποδομές.

Αυτό δημιουργεί ένα σημαντικό σημείο ευπάθειας.

Εάν ένας κρίσιμος τεχνολογικός πάροχος δεχθεί επιτυχημένη κυβερνοεπίθεση, οι συνέπειες δεν θα περιοριστούν απαραίτητα σε έναν οργανισμό. Υπό συγκεκριμένες συνθήκες, η διαταραχή θα μπορούσε να μεταδοθεί ταυτόχρονα σε μεγάλο αριθμό χρηματοπιστωτικών επιχειρήσεων.

Έτσι, ένα τεχνολογικό περιστατικό μπορεί να μετατραπεί σε συστημικό γεγονός.

Η απειλή δεν είναι μόνο η κλοπή δεδομένων

Οι ευρωπαϊκές αρχές προειδοποιούν ότι οι επιπτώσεις μιας μεγάλης κυβερνοεπίθεσης μπορεί να είναι πολύ ευρύτερες από μια προσωρινή διακοπή λειτουργίας ή μια απώλεια δεδομένων.

Η τεχνητή νοημοσύνη μπορεί να χρησιμοποιηθεί για τη δημιουργία εξαιρετικά πειστικών επιθέσεων phishing, για την παραγωγή ψευδούς περιεχομένου και παραπλανητικών πληροφοριών, αλλά και για τη μαζική διάδοση φημών.

Στο χρηματοπιστωτικό σύστημα αυτό αποκτά ιδιαίτερη σημασία.

Μια συντονισμένη εκστρατεία παραπληροφόρησης θα μπορούσε να δημιουργήσει αμφιβολίες για την οικονομική κατάσταση μιας τράπεζας, να πλήξει την εμπιστοσύνη των επενδυτών ή ακόμη και να προκαλέσει ανησυχία στους καταθέτες.

Σε ένα περιβάλλον όπου μια πληροφορία μπορεί να διαδοθεί σε εκατομμύρια ανθρώπους μέσα σε λίγα λεπτά, ένα κυβερνοπεριστατικό μπορεί να εξελιχθεί πολύ γρήγορα σε κρίση εμπιστοσύνης.

Και από εκεί και πέρα, η απόσταση μέχρι μια ευρύτερη χρηματοπιστωτική αναταραχή μπορεί να είναι μικρότερη από ό,τι στο παρελθόν.

Η γεωπολιτική διάσταση

Η νέα απειλή έχει και έντονη γεωπολιτική διάσταση.

Οι ευρωπαϊκές αρχές επισημαίνουν ότι ο κίνδυνος δεν προέρχεται αποκλειστικά από το οργανωμένο κυβερνοέγκλημα. Η αυξανόμενη γεωπολιτική αντιπαράθεση ενισχύει την πιθανότητα κυβερνοεπιθέσεων από ομάδες που υποστηρίζονται από κρατικούς φορείς.

Έτσι, η κυβερνοασφάλεια συνδέεται πλέον άμεσα με την εθνική και ευρωπαϊκή ασφάλεια, αλλά και με την προστασία κρίσιμων οικονομικών υποδομών.

Για τις τράπεζες αυτό σημαίνει ότι η αντιμετώπιση της AI δεν μπορεί να περιοριστεί στα τμήματα πληροφορικής.

Το ESRB ουσιαστικά ζητά από τα χρηματοπιστωτικά ιδρύματα να αντιμετωπίσουν την τεχνητή νοημοσύνη ως στρατηγικό ζήτημα διαχείρισης κινδύνου, με άμεση σύνδεση με τη διοίκηση, την επιχειρησιακή συνέχεια και τη χρηματοπιστωτική σταθερότητα.

Η νέα εποχή για τη χρηματοπιστωτική εποπτεία

Το σημαντικότερο στοιχείο των τελευταίων προειδοποιήσεων δεν είναι ότι οι ευρωπαϊκές αρχές θεωρούν την τεχνητή νοημοσύνη απειλή.

Αντίθετα, αναγνωρίζουν τις τεράστιες δυνατότητες που προσφέρει η τεχνολογία τόσο για την παραγωγικότητα όσο και για την άμυνα απέναντι στις κυβερνοεπιθέσεις.

Αυτό που αλλάζει είναι ο τρόπος με τον οποίο αντιμετωπίζουν πλέον τον κίνδυνο.

Μέχρι πρόσφατα, μια κυβερνοεπίθεση αντιμετωπιζόταν κυρίως ως τεχνολογικό ή επιχειρησιακό πρόβλημα. Σήμερα, η ταχύτητα, η αυτοματοποίηση και η δυνατότητα κλιμάκωσης που προσφέρει η τεχνητή νοημοσύνη την καθιστούν δυνητικά παράγοντα συστημικής χρηματοπιστωτικής αστάθειας.

Και αυτή είναι ίσως η σημαντικότερη αλλαγή.

Στην εποχή της AI, ο κίνδυνος για μια τράπεζα δεν είναι πλέον μόνο ένα πρόβλημα που αφορά τους servers, τα δεδομένα ή τα πληροφοριακά της συστήματα. Μια επίθεση σε έναν κοινό πάροχο τεχνολογίας, μια μαζική εκστρατεία παραπληροφόρησης ή μια αυτοματοποιημένη κυβερνοεπίθεση μεγάλης κλίμακας θα μπορούσε να μεταδοθεί μέσα σε ελάχιστο χρόνο σε ολόκληρο το χρηματοπιστωτικό οικοσύστημα.

Η τεχνητή νοημοσύνη, επομένως, δεν αλλάζει μόνο τον τρόπο με τον οποίο λειτουργούν οι τράπεζες. Αλλάζει και τον ίδιο τον ορισμό του συστημικού κινδύνου.