Σε ένα από τα πιο πρόσφατα περιστατικά, χάκερ φέρεται να χρησιμοποίησαν πράκτορες τεχνητής νοημοσύνης για να επιτεθούν σε τουλάχιστον επτά τράπεζες της Νότιας Κορέας και να υποκλέψουν δεδομένα πελατών. Παράλληλα, η εταιρεία κυβερνοασφάλειας CrowdStrike εκτίμησε ότι χάκερ με πιθανή σύνδεση με την Κίνα χρησιμοποίησαν κινεζικό πράκτορα τεχνητής νοημοσύνης, καθώς και το Claude της Anthropic, σε επιθέσεις κατά νοτιοκορεατικών τραπεζών.

Σύμφωνα με έξι πηγές που επικαλείται το Reuters, οι εποπτικές αρχές εντείνουν τους ελέγχους τους, καθώς εξετάζουν κατά πόσο οι νέες δυνατότητες της τεχνητής νοημοσύνης καθιστούν αναγκαίες μεγάλες επενδύσεις σε συστήματα αποκατάστασης μετά από κυβερνοεπιθέσεις, αυστηρότερη παρακολούθηση των εξωτερικών τεχνολογικών παρόχων και νέες κατευθυντήριες γραμμές για τον τραπεζικό κλάδο.

Ανώτατο στέλεχος μεγάλης ευρωπαϊκής τράπεζας φέρεται να εκφράζει ανησυχία για το ενδεχόμενο σοβαρών ζημιών στον τραπεζικό τομέα και στις χρηματοπιστωτικές αγορές μέσα στους επόμενους έξι μήνες. Η εκτίμηση αυτή αποτυπώνει την ταχύτητα με την οποία μεταβάλλεται το τοπίο των ψηφιακών απειλών και τη δυσκολία των χρηματοπιστωτικών ιδρυμάτων να προσαρμόσουν εγκαίρως τις άμυνές τους.

Στο μικροσκόπιο Fed, OCC και FDIC

Στις ΗΠΑ, τρεις βασικές εποπτικές αρχές, η Ομοσπονδιακή Τράπεζα (Fed), το Γραφείο Ελέγχου του Νομίσματος (OCC) και η Ομοσπονδιακή Εταιρεία Ασφάλισης Καταθέσεων (FDIC), ζητούν από τις τράπεζες περισσότερες πληροφορίες για τη χρήση προηγμένων μοντέλων τεχνητής νοημοσύνης.

Οι έλεγχοι αφορούν τόσο την αξιοποίηση της τεχνολογίας στην κυβερνοασφάλεια όσο και τη δυνατότητα των τραπεζών να διατηρούν ουσιαστικό έλεγχο πάνω σε συστήματα που αποκτούν ολοένα μεγαλύτερη αυτονομία.

Μεταξύ άλλων, οι εποπτικές αρχές ζητούν διευκρινίσεις για το αν οι τράπεζες χρησιμοποιούν μοντέλα που έχουν αναπτυχθεί στην Κίνα ή σε άλλες χώρες, καθώς και για το αν αξιοποιούν AI agents στον εντοπισμό, στην αξιολόγηση και στην αντιμετώπιση κυβερνοαπειλών.

Ιδιαίτερη σημασία αποδίδεται στους μηχανισμούς ασφαλείας που περιορίζουν τις ενέργειες των αυτόνομων συστημάτων. Οι αρχές θέλουν να γνωρίζουν πώς εγκρίνονται και παρακολουθούνται οι αποφάσεις τους, αν οι εργαζόμενοι εξακολουθούν να συμμετέχουν στις κρίσιμες αποφάσεις, κατά πόσο είναι δυνατή η πλήρης καταγραφή των ενεργειών τους και πώς μπορεί να διακοπεί άμεσα η λειτουργία τους εφόσον προκύψει πρόβλημα.

Τα ερωτήματα απευθύνονται σε μεγάλες, μεσαίες και μικρότερες τράπεζες και καταδεικνύουν ότι η εποπτεία δεν περιορίζεται πλέον στην προστασία των παραδοσιακών πληροφοριακών συστημάτων. Επεκτείνεται και στους κινδύνους που δημιουργούνται όταν οι ίδιες οι τράπεζες ενσωματώνουν προηγμένα, αυτόνομα εργαλεία στις καθημερινές λειτουργίες τους.

Προς το παρόν, οι αμερικανικές αρχές βρίσκονται στο στάδιο της συλλογής πληροφοριών και δεν έχουν προχωρήσει στην επιβολή συγκεκριμένων νέων υποχρεώσεων. Ωστόσο, η διαδικασία ενδέχεται να αποτελέσει τη βάση για αυστηρότερο πλαίσιο ελέγχου στο μέλλον.

Ευρωπαϊκή πίεση για σχέδια ανάκαμψης

Στην Ευρώπη, η Τράπεζα της Αγγλίας και η Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ) ζητούν από τα χρηματοπιστωτικά ιδρύματα να ενισχύσουν την ετοιμότητά τους για την αντιμετώπιση σοβαρών περιστατικών κυβερνοασφάλειας.

Η βασική προτεραιότητα είναι να διασφαλιστεί ότι μια επίθεση δεν θα οδηγήσει σε παρατεταμένη διακοπή των τραπεζικών υπηρεσιών ή σε απώλεια ελέγχου κρίσιμων υποδομών. Οι εποπτικές αρχές εξετάζουν, επομένως, όχι μόνο την πρόληψη των επιθέσεων, αλλά και την ταχύτητα με την οποία μια τράπεζα μπορεί να επαναφέρει τις λειτουργίες της.

Στο Ηνωμένο Βασίλειο, οι μεγαλύτερες τράπεζες ενθαρρύνονται να εξετάσουν λύσεις αποκατάστασης των πληροφοριακών τους συστημάτων από μηδενική βάση, γνωστές ως «bare metal recovery». Πρόκειται για ανεξάρτητες υποδομές που μπορούν να χρησιμοποιηθούν όταν τα βασικά λειτουργικά συστήματα έχουν παραβιαστεί ή καταστεί αναξιόπιστα.

Η συγκεκριμένη προσέγγιση μπορεί να αποδειχθεί κρίσιμη σε περίπτωση που μια επίθεση δεν περιορίζεται στην κλοπή δεδομένων, αλλά καταφέρνει να μολύνει ή να αχρηστεύσει τις κύριες τεχνολογικές υποδομές μιας τράπεζας. Η δημιουργία και η διατήρηση τέτοιων μηχανισμών, ωστόσο, απαιτούν σημαντικούς πόρους. Οι βρετανικές αρχές φέρεται να προτιμούν προς το παρόν τη συνεργασία με τον κλάδο αντί της άμεσης επιβολής νέων υποχρεώσεων.

Η ΕΚΤ είχε δώσει στις τράπεζες προθεσμία έως τα τέλη Οκτωβρίου για την κατάρτιση σχεδίων αντιμετώπισης απειλών που συνδέονται με την τεχνητή νοημοσύνη. Στο επίκεντρο βρίσκονται η ενίσχυση των αντιγράφων ασφαλείας, η αποκατάσταση των συστημάτων και η δυνατότητα επαναφοράς της λειτουργίας ακόμη και έπειτα από μια εκτεταμένη παραβίαση.

Παράλληλα, οι τράπεζες της ευρωζώνης καλούνται να καταγράψουν πού και πώς χρησιμοποιείται η τεχνητή νοημοσύνη στο σύνολο των δραστηριοτήτων τους, συμπεριλαμβανομένων των υπηρεσιών που παρέχονται από εξωτερικούς συνεργάτες. Στόχος είναι να εντοπιστούν κρίσιμες τεχνολογικές εξαρτήσεις και να διασφαλιστεί ότι τα συστήματα μπορούν να απενεργοποιούνται και να επανεκκινούνται με ελεγχόμενο τρόπο.

Οι ευρωπαϊκές τράπεζες έχουν εκφράσει, παράλληλα, προβληματισμό για την περιορισμένη πρόσβασή τους στο Mythos της Anthropic, καθώς φοβούνται ότι οι αμερικανικοί όμιλοι θα αποκτήσουν προβάδισμα στην αξιολόγηση των πλέον προηγμένων μοντέλων και στην αξιοποίηση των δυνατοτήτων τους για την ενίσχυση της ασφάλειας.

Το κόστος της αποκατάστασης και ο κίνδυνος διακοπής πληρωμών

Η δημιουργία ισχυρών μηχανισμών ανάκαμψης αποκτά ολοένα μεγαλύτερη σημασία, καθώς η αποτροπή μιας επίθεσης δεν είναι πάντοτε εφικτή. Εξίσου κρίσιμη είναι η δυνατότητα επαναφοράς των υπηρεσιών σε σύντομο χρονικό διάστημα, χωρίς να επηρεαστούν η πρόσβαση των πελατών στους λογαριασμούς τους και η ομαλή διεκπεραίωση των πληρωμών.

«Η ταχεία αποκατάσταση της λειτουργίας είναι εξίσου σημαντική με την πρόληψη», επισημαίνει ο Σουκάντ Ραματσάντραν, διευθύνων σύμβουλος και ανώτερος εταίρος της Boston Consulting Group (BCG).

Όπως εξηγεί, οι τράπεζες χρειάζονται ξεχωριστά αποθηκευμένα και ασφαλή αντίγραφα των κρίσιμων δεδομένων τους, τα οποία να μην έχουν μολυνθεί από κακόβουλο λογισμικό. Διαφορετικά, μια εκτεταμένη επίθεση θα μπορούσε να εμποδίσει τους πελάτες να αποκτήσουν πρόσβαση στους λογαριασμούς τους και να προκαλέσει διαταραχές στις πληρωμές σε ολόκληρη την οικονομία.

Η πρόκληση είναι διπλή: από τη μία πλευρά, οι τράπεζες πρέπει να επενδύσουν σε τεχνολογίες που θα εντοπίζουν και θα αντιμετωπίζουν ταχύτερα τις απειλές· από την άλλη, οφείλουν να διασφαλίσουν ότι οι ίδιες οι νέες εφαρμογές τεχνητής νοημοσύνης δεν θα δημιουργούν πρόσθετα κενά ασφαλείας.

Προειδοποίηση από το ΔΝΤ για τη χρηματοπιστωτική σταθερότητα

Οι κίνδυνοι δεν περιορίζονται στις επιμέρους τράπεζες. Το Διεθνές Νομισματικό Ταμείο (ΔΝΤ) προειδοποίησε για τον κίνδυνο εφησυχασμού στις διεθνείς χρηματοπιστωτικές αγορές, επισημαίνοντας μεταξύ άλλων το ενδεχόμενο μιας μεγάλης κυβερνοεπίθεσης.

Σύμφωνα με το Ταμείο, ένα περιστατικό που θα έπληττε κρίσιμη χρηματοπιστωτική υποδομή ή μεγάλο χρηματοπιστωτικό ίδρυμα θα μπορούσε να κλονίσει την εμπιστοσύνη στην αγορά και να προκαλέσει ευρύτερες αναταράξεις. Για τον λόγο αυτό, κάλεσε τις αρμόδιες αρχές να ενισχύσουν τις δυνατότητες κυβερνοασφάλειας και την ανθεκτικότητα του χρηματοπιστωτικού συστήματος.

Την ίδια στιγμή, η συζήτηση για τους κινδύνους της τεχνητής νοημοσύνης εντείνεται και στο εσωτερικό του επιχειρηματικού κόσμου. Ο διευθύνων σύμβουλος της JPMorgan, Τζέιμι Ντάιμον, έχει καλέσει κορυφαία στελέχη επιχειρήσεων να συμμετάσχουν σε μια διακλαδική πρωτοβουλία στις ΗΠΑ για την αντιμετώπιση των απειλών που συνδέονται με την τεχνητή νοημοσύνη.

Ερευνητές της Anthropic έχουν επίσης προειδοποιήσει ότι τα ολοένα ισχυρότερα μοντέλα θα μπορούσαν στο μέλλον να καταστούν δυσκολότερα ελέγξιμα από τον άνθρωπο, δημιουργώντας κινδύνους που ξεπερνούν την παραδοσιακή κυβερνοασφάλεια.

Ο Μάικλ Γούντμπριτζ, ειδικός σε θέματα κυβερνοασφάλειας της Grant Thornton, συνοψίζει το βασικό πρόβλημα: η υιοθέτηση της τεχνητής νοημοσύνης προχωρά συχνά ταχύτερα από την ανάπτυξη των απαραίτητων μηχανισμών ελέγχου.

Για τις τράπεζες, το στοίχημα είναι πλέον να αξιοποιήσουν τις δυνατότητες των AI agents χωρίς να χάσουν τον έλεγχο των συστημάτων τους. Καθώς η τεχνολογία εξελίσσεται με ταχύτητα, η επάρκεια των ελέγχων, η ασφάλεια των δεδομένων και η δυνατότητα άμεσης αποκατάστασης κρίσιμων υπηρεσιών αναδεικνύονται σε βασικές προϋποθέσεις για τη διατήρηση της εμπιστοσύνης και της χρηματοπιστωτικής σταθερότητας.