De Europese Centrale Bank (ECB) heeft een krachtig standpunt ingenomen. In een brief aan de CEO's van de 110 banken die onder haar direct toezicht staan, eist de voorzitter van de Raad van Toezicht, Claudia Buch, dat de banken vóór 31 oktober een gedetailleerd plan indienen om de cyberbeveiligingsrisico's als gevolg van kunstmatige intelligentie (AI) te beperken. De brief, die omschreven wordt als "ongewoon dringend", bestempelt deze taak als een "absolute prioriteit" en legt de verantwoordelijkheid volledig bij de directie, en niet alleen bij de technische teams.
De reden voor deze urgentie is niets minder dan de opkomst van de volgende generatie AI-modellen, zoals Mythos, ontwikkeld door het Amerikaanse bedrijf Anthropic. Volgens Buch zijn deze systemen in staat om softwarekwetsbaarheden met ongekende snelheid te identificeren, waardoor de tijd tussen de ontdekking van een inbreuk en de wijdverspreide exploitatie ervan aanzienlijk wordt verkort . De toezichthouder waarschuwt dat dit geen tijdelijk risico is, maar eerder "een structurele verandering in het dreigingslandschap".
De Mythos-dreiging en de gecoördineerde reactie van Europese instellingen
Anthropic erkende in april dat Mythos over zulke geavanceerde programmeermogelijkheden beschikt dat het bedrijf besloot de vrijgave ervan aan het grote publiek te blokkeren. Slechts een kleine groep tech- en financiële giganten, zoals Amazon, Google, Microsoft en JPMorgan Chase, heeft via Project Glasswing toegang tot het model. Het Witte Huis verbood het gebruik ervan door buitenlanders zelfs tijdelijk om redenen van nationale veiligheid , hoewel dit verbod begin juli werd opgeheven vanwege de opkomst van Chinese concurrentie, zoals het model van Zhipu AI.
In dit kader heeft het Europees Comité voor systeemrisico's (ESRB) het risico op systeemcyberaanvallen verhoogd van "hoog" naar "ernstig". In een verklaring waarschuwt het orgaan dat geavanceerdere AI-modellen "cybercriminelen een voordeel geven" doordat ze hiermee kwetsbaarheden kunnen ontdekken en aanvallen sneller, op grotere schaal en met meer verfijning kunnen uitvoeren . Het ESRB merkt ook op dat de concentratie van AI-aanbieders buiten de EU de EU kwetsbaar maakt voor strategische afhankelijkheid en geopolitieke risico's, en dringt daarom aan op een gecoördineerde reactie waarbij banken, beveiligingsbedrijven en softwareontwikkelaars betrokken zijn.
Drie verdedigingslinies en strakke deadlines voor de banken.
De brief van de ECB is niet al te gedetailleerd, maar benadrukt wel drie belangrijke gebieden waarop banken zich moeten versterken. Ten eerste "beveiliging door ontwerp": voorkomen dat software vanaf het begin kwetsbaarheden bevat . Ten tweede het zo snel mogelijk verhelpen van eventuele kwetsbaarheden met patches, waardoor de hersteltijd drastisch wordt verkort van maanden naar dagen. Ten derde het beschikken over robuuste verdedigingsmechanismen, waaronder inbraakdetectiesystemen, protocollen voor het isoleren van gecompromitteerde systemen en de mogelijkheid om de bedrijfsvoering snel te herstellen.
Belangrijke Spaanse banken, zoals Santander en BBVA, moeten hun plannen uiterlijk 31 oktober indienen bij de gezamenlijke toezichtsteams (JST's). Dit laat hen minder dan vier maanden de tijd om strategieën te ontwerpen, goed te keuren en te documenteren, die vervolgens door hun raden van bestuur moeten worden bekrachtigd. De ECB heeft besloten de jaarlijkse verzameling van de vragenlijst over technologierisico's uit te stellen tot februari 2027, zodat banken hun middelen op deze prioriteit kunnen richten. Bovendien waarschuwt de toezichthouder dat zij alle beschikbare middelen zal inzetten, waaronder mogelijke boetes of kapitaalverhogingen, indien zij ernstige tekortkomingen constateert.
Buch wees er ook op dat andere opkomende technologieën, zoals kwantumcomputing, een aanzienlijke impact zullen hebben op cyberbeveiliging, hoewel de focus voorlopig op AI ligt. "Hoewel deze ontwikkelingen geen volledig nieuwe risico's met zich meebrengen, versterken ze wel de snelheid en schaal waarop deze risico's zich manifesteren aanzienlijk ", waarschuwt de voorzitter van de Raad van Commissarissen. Europese banken staan ​​daarom voor een grote uitdaging: zich beschermen tegen een dreiging die zich sneller ontwikkelt dan hun eigen IT-afdelingen, en dat tegen de klok.