Μέχρι πριν από λίγα χρόνια, όταν οι ευρωπαϊκές εποπτικές αρχές μιλούσαν για κινδύνους που θα μπορούσαν να απειλήσουν τη χρηματοπιστωτική σταθερότητα, η σκέψη όλων πήγαινε στον υψηλό πληθωρισμό, στις απότομες αυξήσεις των επιτοκίων, στις ενεργειακές κρίσεις ή στις γεωπολιτικές συγκρούσεις. Ο πόλεμος στην Ουκρανία, οι εξελίξεις στη Μέση Ανατολή και οι επιπτώσεις τους στις αγορές εντάσσονται στους παραδοσιακούς κινδύνους και βρέθηκαν επανειλημμένως στο επίκεντρο των προειδοποιήσεων των ευρωπαϊκών θεσμών.
Σήμερα στη λίστα των μεγάλων συστημικών απειλών προστίθεται η τεχνητή νοημοσύνη, η οποία μπορεί να μετατρέψει μια κυβερνοεπίθεση σε ένα γεγονός με συστημικές συνέπειες για ολόκληρο το χρηματοπιστωτικό σύστημα. Ο αυξημένος κίνδυνος επικεντρώνεται επίσημα στη λεγόμενη νέα γενιά των πιο ισχυρών μοντέλων τεχνητής νοημοσύνης («frontier AI»), που αντιμετωπίζονται ως παράγοντας που μπορεί να ενισχύσει τον συστημικό κυβερνοκίνδυνο.
Μέχρι σήμερα ένας χάκερ χρειαζόταν χρόνο, εξειδικευμένες γνώσεις και ανθρώπινο δυναμικό για να εντοπίσει μια ευπάθεια σε ένα πληροφοριακό σύστημα. Πλέον τα νέα AI μοντέλα μπορούν να εντοπίζουν ευπάθειες πολύ ταχύτερα, να γράφουν κώδικες (exploit code), να αυτοματοποιούν πολύπλοκες επιθέσεις και να προσαρμόζουν την επίθεση σε πραγματικό χρόνο.
Αυτό είναι το βασικό μήνυμα της προειδοποίησης που εξέδωσε στις αρχές του μήνα το Ευρωπαϊκό Συμβούλιο Συστημικού Κινδύνου (European Systemic Risk Board – ESRB), κάνοντας λόγο για «παραδειγματική αλλαγή» (paradigm shift) στις δυνατότητες των επιτιθέμενων, καθώς το AI μειώνει δραστικά το κόστος και αυξάνει θεαματικά την ταχύτητα και την κλίμακα μιας κυβερνοεπίθεσης.
Τι ζητάει η ΕΚΤ
Ακολούθησε αντίστοιχη προειδοποίηση των τριών ευρωπαϊκών εποπτικών αρχών – της Ευρωπαϊκής Αρχής Τραπεζών (EBA), της Ευρωπαϊκής Αρχής Κινητών Αξιών και Αγορών (ESMA) και της Ευρωπαϊκής Αρχής Ασφαλίσεων και Επαγγελματικών Συντάξεων (EIOPA). Η προειδοποίηση του ESRB δεν περιορίζεται σε μια σύσταση. Μετατρέπεται ήδη σε συγκεκριμένη εποπτική απαίτηση, καθώς μια μέρα πριν η ΕΚΤ ζήτησε από τις συστημικές τράπεζες της Ευρωζώνης να υποβάλουν έως το τέλος Οκτωβρίου συγκεκριμένα σχέδια για το πώς θα αντιμετωπίσουν τις απειλές που δημιουργεί η AI. Τα σχέδια περιλαμβάνουν την προστασία των συστημάτων που είναι εκτεθειμένα στο Διαδίκτυο, την ταχύτερη αποκατάσταση ευπαθειών, τον εκσυγχρονισμό παλαιών πληροφοριακών συστημάτων και την ενίσχυση της διαχείρισης κρίσεων και της ανταλλαγής πληροφοριών.
Οι ίδιες δυνατότητες που μπορούν να αξιοποιηθούν για την ενίσχυση της άμυνας απέναντι στις κυβερνοεπιθέσεις μπορούν, εάν χρησιμοποιηθούν κακόβουλα, να επιταχύνουν και να ενισχύσουν σημαντικά τις επιθέσεις, και η ανησυχία των ευρωπαϊκών αρχών αφορά τα πλέον προηγμένα μοντέλα, τα οποία διαθέτουν τη δυνατότητα να αναλύουν τεράστιους όγκους δεδομένων, να γράφουν κώδικα, να εντοπίζουν αδυναμίες σε πληροφοριακά συστήματα και να αυτοματοποιούν πολύπλοκες διαδικασίες.
Ενας κυβερνοκίνδυνος αντιμετωπίζεται πλέον ως πιθανός παράγοντας συστημικής χρηματοπιστωτικής κρίσης.
Σύμφωνα με το ESRB, η τεχνητή νοημοσύνη μειώνει δραστικά το κόστος και τον χρόνο που απαιτούνται για την προετοιμασία μιας επίθεσης, επιτρέπει την ταχύτερη ανακάλυψη ευπαθειών σε λογισμικό και δίκτυα και μπορεί να αυτοματοποιήσει επιθέσεις που μέχρι σήμερα απαιτούσαν εξειδικευμένες γνώσεις και σημαντικούς ανθρώπινους πόρους. Με άλλα λόγια, αυξάνει τόσο την ταχύτητα όσο και την κλίμακα των κυβερνοεπιθέσεων, δημιουργώντας μια νέα πραγματικότητα για τον χρηματοπιστωτικό τομέα.
Οι ευρωπαϊκές αρχές επισημαίνουν ότι το σύγχρονο χρηματοπιστωτικό σύστημα χαρακτηρίζεται από έντονη διασύνδεση, στον βαθμό που τράπεζες, εταιρείες πληρωμών, ασφαλιστικές επιχειρήσεις και άλλοι χρηματοπιστωτικοί οργανισμοί βασίζονται σε μεγάλο βαθμό στους ίδιους παρόχους υπηρεσιών cloud, στις ίδιες πλατφόρμες λογισμικού και σε κοινές ψηφιακές υποδομές. Μια επιτυχημένη επίθεση σε έναν κρίσιμο τεχνολογικό πάροχο θα μπορούσε, υπό προϋποθέσεις, να προκαλέσει ταυτόχρονες διαταραχές σε μεγάλο μέρος του ευρωπαϊκού χρηματοπιστωτικού συστήματος.
Παράλληλα, το ESRB προειδοποιεί ότι οι επιπτώσεις μιας μεγάλης κυβερνοεπίθεσης δεν περιορίζονται στη διακοπή λειτουργίας πληροφοριακών συστημάτων ή στην απώλεια δεδομένων. Η τεχνητή νοημοσύνη μπορεί να χρησιμοποιηθεί για τη δημιουργία ιδιαίτερα πειστικών επιθέσεων ηλεκτρονικού «ψαρέματος» (phishing), για την παραγωγή ψευδούς περιεχομένου και παραπλανητικών πληροφοριών, ακόμη και για τη διάδοση φημών που θα μπορούσαν να κλονίσουν την εμπιστοσύνη των καταθετών και των επενδυτών. Σε ένα περιβάλλον όπου οι πληροφορίες διαδίδονται μέσα σε λίγα λεπτά, μια συντονισμένη κυβερνοεπίθεση θα μπορούσε να μετατραπεί γρήγορα σε κρίση εμπιστοσύνης με ευρύτερες επιπτώσεις για τη χρηματοπιστωτική σταθερότητα.
Γεωπολιτική ασφάλεια
Οι ευρωπαϊκές αρχές υπογραμμίζουν, επίσης, ότι η απειλή δεν προέρχεται αποκλειστικά από το οργανωμένο κυβερνοέγκλημα. Η αυξανόμενη γεωπολιτική ένταση ενισχύει τον κίνδυνο επιθέσεων από κρατικά υποστηριζόμενες ομάδες, γεγονός που συνδέει πλέον άμεσα την κυβερνοασφάλεια με τη γεωπολιτική ασφάλεια και τη λειτουργία των κρίσιμων οικονομικών υποδομών.
Για τον λόγο αυτό, το ESRB καλεί τις τράπεζες να αντιμετωπίσουν την τεχνητή νοημοσύνη ως ζήτημα στρατηγικής διαχείρισης κινδύνων και όχι αποκλειστικά ως θέμα πληροφορικής.
Το σημαντικότερο μήνυμα των ευρωπαϊκών αρχών είναι ότι η τεχνητή νοημοσύνη δεν αντιμετωπίζεται ως απειλή που πρέπει να περιοριστεί, αλλά ως μια τεχνολογία με τεράστιες δυνατότητες και αντίστοιχα μεγάλες προκλήσεις. Εκείνο που αλλάζει είναι η οπτική των εποπτών: ένας κυβερνοκίνδυνος που μέχρι χθες θεωρούνταν κυρίως τεχνολογικό ζήτημα, αντιμετωπίζεται πλέον ως πιθανός παράγοντας συστημικής χρηματοπιστωτικής κρίσης. Και αυτό σηματοδοτεί ουσιαστική αλλαγή στη φιλοσοφία της ευρωπαϊκής εποπτείας.
