IA, scatta l'allarme rosso per le banche europee: il “caso Mythos” oggi sul tavolo della Bce

Il sistema finanziario europeo ora ha paura dell’intelligenza artificiale. La Banca centrale europea ha fissato per oggi un confronto con le banche dell’area euro intorno al caso di Claude Mythos Preview, il modello di Anthropic dotato di straordinarie capacità di individuare vulnerabilità software.

Anthropic, con i dati dei giorni scorsi, afferma di aver già trovato 10mila vulnerabilità in sistemi usati da aziende di tutto il mondo. Sono altrettante porte di ingresso, utilizzabili da malintenzionati.

Il tema è generale di sicurezza per i sistemi informatici globali, ma spaventa di più quando si tratta di banche. Cybercriminali o Stati nazione nemici (prima indiziata, la Russia) che utilizzino strumenti potenti come Mythos potrebbero in poco tempo mettere in ginocchio il sistema finanziario del mondo: infiltrandosi nei conti, alterando i mercati.

Ecco perché nella riunione, la Bce intende spingere le banche ad accelerare una soluzione. Una possibilità è ottenere la collaborazione delle banche Usa, che a differenza di quelle europee (e delle nostre istituzioni) hanno già ottenuto l’accesso a Mythos.

Frank Elderson, membro del board Bce vicepresidente del Consiglio di vigilanza sulle banche, ha spiegato al Financial Times che le banche devono diventare più veloci nelle difese cyber, a causa del cambio di passo imposto dall’IA. Martedì "intendiamo sentire le loro valutazioni, far condividere le loro esperienze e sottolineare l'urgenza di questo problema".

I problemi da affrontare sono numerosi. È vero che Mythos al momento è accessibile solo a un ristretto numero di partner (americani e britannici) di Anthropic, quindi non è nelle mani di possibili criminali o avversari dell’Occidente.

La velocità di reazione

Quando però Mythos trova una vulnerabilità in un software, l’azienda che lo produce è chiamata poi a pubblicare un aggiornamento per risolverla. A quel punto, scatta un conto alla rovescia per tutte le aziende utilizzatrici di quel software. Devono installare subito l’aggiornamento, come dice Elderson, perché a quel punto anche criminali e nemici sapranno che c’è una vulnerabilità.

"Questo significa che, una volta pubblicata la patch, una banca deve avere processi in atto per assicurarsi di applicare queste patch molto più velocemente di quanto non avvenga attualmente secondo le prassi di mercato". Secondo Elderson, dovrebbero farlo in poche ore e minuti; mentre ora le banche ci impiegano settimane, per la complessità tecnico-organizzativa richiesta.

Il problema sono i nuovi Mythos

Un problema più grosso potrebbe sorgere quando arriveranno strumenti alternativi a Mythos, altrettanto potenti e disponibili a chiunque. Esito inevitabile, secondo la maggior parte degli esperti di sicurezza informatica. A quel punto sarà ancora più urgente, per aziende e istituzioni, individuare subito le vulnerabilità e correggerle, prima che un avversario si attrezzi per sfruttarle.

Discorso che vale soprattutto per chi gestisce infrastrutture critiche. Non solo banche ma anche la Sanità, le pensioni, le telecomunicazioni; le reti militari di Difesa di un Paese.

Un tema così grave e complesso da richiedere la collaborazione di più soggetti. La Bce ha ben visto la necessità che banche europee facciano squadra non solo tra loro ma anche con i loro omologhi americani. Secondo molti osservatori, però, è una partita da gestire ancora più in alto: i presidenti degli Usa e della Cina, nel recente vertice di Pechino, hanno discusso tra l’altro la necessità di collaborare per una governance comune dell’IA. Obiettivo, porre paletti per controllarne i pericoli, apparsi urgenti soprattutto dopo l’arrivo di Mythos.