(1)

Vodeći dobavljači umjetne inteligencije (UI) razvili su napredne UI modele (engl. Frontier AI Models, FAIM), koji su vrlo sposobni u području kibersigurnosti i mogu provoditi potpuno automatizirane kibernapade na složene sustave, uključujući otkrivanjem ranjivosti te razvojem i osposobljavanjem eksploita za izvođenje napada, čime se iz temelja mijenja okruženje kiberprijetnji.

(2)

FAIM-ovi su znatno bolji od ranijih modela umjetne inteligencije u pronalaženju načina za izvođenje kibernapada jer imaju bolje rezultate od ranijih modela u pogledu troškova, brzine i točnosti te su sada u konkurenciji s vodećim ljudskim stručnjacima.

(3)

FAIM-ovi mogu ugroziti sustave na kojima se temelje okruženja informacijske i komunikacijske tehnologije (IKT) o kojima ovisi financijska infrastruktura, čime se povećavaju vjerojatnost i ozbiljnost kiberincidenata sa sistemskim učinkom.

(4)

FAIM-ovi su pokazali sposobnost otkrivanja ranjivosti i stvaranja novih eksploita, čime su veliki operativni sustavi i softver koji se upotrebljavaju u gotovo svim IKT okruženjima organizacija izloženi riziku od kibernapada.

(5)

U prošlosti su otkrića takvih ranjivosti bila rijetka i često su ih otkrivali istraživači u području sigurnosti, što je omogućilo ciljano uklanjanje ranjivosti. U tim slučajevima dobavljačima softvera često se daje standardizirani vremenski okvir – obično 90 dana – za uklanjanje ranjivosti prije njezina javnog otkrivanja. Međutim, FAIM-ovi će vjerojatno povećati broj utvrđenih ranjivosti.

(6)

Trenutačne prakse zakrpa u financijskom sustavu uglavnom su reaktivne i oslanjaju se na periodična ažuriranja i ad hoc odgovore na otkrivene ranjivosti. Taj pristup funkcionira u okruženju prijetnji u kojem vrijeme omogućuje da se otkrića ranjivosti i dalje mogu kontrolirati. Međutim, s povećanjem broja ranjivosti postojeće prakse mogle bi postati nedovoljne za održavanje operativne otpornosti.

(7)

To povećanje broja izlaže i trenutačne postupke zakrpa preopterećenju jer se njima prednost daje korektivnim mjerama na temelju rizika i zahtijeva testiranje softverskih zakrpa prije provedbe kako bi se osigurala operativna stabilnost. Ako se u kratkom roku otkrije previše ranjivosti s kritičnim učinkom kako bi se znatno povećao broj potrebnih kritičnih zakrpa softvera, financijske institucije možda će morati odlučiti hoće li ostati izložene znatnim kibernetičkim rizicima ili smanjiti zahtjeve za testiranje zakrpa, čime se riskiraju operativni incidenti i prekid rada.

(8)

Osposobljavanje eksploita za izvođenje napada prethodno je u velikoj mjeri bilo ručna i za to su ljudskim stručnjacima bili potrebni dani ili tjedni, dok FAIM-ovi sada to mogu učiniti u roku od nekoliko minuta ili sati. To predstavlja slom zaštitnih vremenskih rezervi, koje su potrebne za održavanje kontinuiteta ključnih i važnih funkcija tijekom uklanjanja ranjivosti.

(9)

Zbog sve većeg broja eksploita za izvođenje napada koji odgovaraju kritičnim ranjivostima koje UI koristi za izvođenje napada i s time povezanog smanjenja zaštitnih vremenskih rezervi, rizik za pojedinačne ključne ili važne funkcije i institucije naglo se povećava. Ako se takvi rizici istodobno realiziraju u tim funkcijama i institucijama, to bi moglo dovesti do trajnog povećanja sistemskog kibernetičkog rizika za koji trenutačno ne postoji potpuno učinkovit okvir za ublažavanje. Zbog snažne međusobne povezanosti unutar financijskog sektora Unije, kao i između tog sektora i drugih sektora i jurisdikcija, ova situacija predstavlja sustavan rizik i može stvoriti sistemske slabosti.

(10)

Nadalje, FAIM-ove trenutačno razvija samo mali broj dobavljača UI-ja, od kojih je nekoliko izrazilo zabrinutost da bi budući FAIM-ovi mogli biti previše moćni za neograničen javni pristup.

(11)

Zlonamjerni akteri već upotrebljavaju UI za jačanje kibernapada. Vjerojatno je da će takvi akteri u konačnici steći, bilo curenjem informacija, krađom, neovisnim razvojem ili otvorenim pristupom, UI modele sa sposobnostima usporedivima s onima koje se trenutačno upotrebljavaju u kontroliranim obrambenim okruženjima.

(12)

Iako FAIM-ovi mogu znatno povećati napadačke sposobnosti i vjerojatnost sofisticiranih kibernapada, ojačat će i obrambene sposobnosti, posebno u pogledu otkrivanja ranjivosti, podatkovne korelacije i korektivnih mjera pojedinačnih institucija. Međutim, kratkoročno do srednjoročno povećanje brzine, razmjera i točnosti napadačkih sposobnosti vjerojatno će nadmašiti koristi.

(13)

Zbog brzog razvoja FAIM-ova potrebno je bez odgode ukloniti utvrđene rizike za financijsku stabilnost kako bi se spriječila njihova realizacija ili barem ublažio njihov mogući učinak. Kako bi se osigurala financijska stabilnost financijskih tržišta Unije, svi članovi Europskog odbora za sistemske rizike (ESRB) trebali bi razmotriti implikacije FAIM-ova na operativnu sposobnost i otpornost financijskih institucija u kontekstu njihovih mjera makrobonitetne i mikrobonitetne politike. Ovo je bez utjecaja na ovlasti u području monetarne politike središnjih banaka u Uniji. Primjerice, među trenutačnim inicijativama drugih tijela, ESB je u svojoj ulozi nadzornog tijela za bankarstvo zatražio od značajnih institucija da bez odgađanja procijene učinak promjenjivog okruženja prijetnje te da do 31. listopada 2026. izrade sveobuhvatan akcijski plan u kojem će navesti konkretne mjere usmjerene na otklanjanje tih rizika (4).

(14)

Budući da se tehnologija Ui-ja sve više širi, važno je osigurati da sva kritična infrastruktura, a posebno financijske institucije, budu spremne suočiti se s kibernapadima koje pokreću FAIM-ovi te provesti pravodobne i odgovarajuće pripreme. Međutim, takvi obrambeni napori pojedinačnih subjekata ne bi bili dovoljni. Za učinkovit odgovor i ublažavanje rizika potreban je koordinirani odgovor u kojem sudjeluju sve zahvaćene strane, uključujući dobavljače UI-ja, dobavljače softvera, zaštitarska društva, održavatelje otvorenog koda, financijske institucije i tijela na nacionalnoj razini i razini Unije.

(15)

Pri rješavanju navedenih pitanja važno je podsjetiti na relevantne pravne okvire i okvire politike Unije, posebno na Uredbu (EU) 2022/2554 Europskog parlamenta i Vijeća (5), Uredbu (EU) 2024/1689 Europskog parlamenta i Vijeća (6), Uredbu (EU) 2024/2847 Europskog parlamenta i Vijeća (7) i Preporuku Europskog odbora za sistemske rizike (ESRB/2021/17) (8).

(16)

Uredba (EU) 2022/2554 pruža sveobuhvatan okvir financijskim institucijama za utvrđivanje, upravljanje, praćenje i ublažavanje IKT rizika, uključujući rizike koji proizlaze iz kibernapada. S obzirom na međusobnu povezanost financijskog sektora i njegovo oslanjanje na IKT sustave i treće strane pružatelje usluga, uspješan kibernapad koji utječe na jednu ili više financijskih institucija ili njihove pružatelje ključnih usluga mogao bi imati znatne sistemske implikacije. Financijska nadzorna tijela trebala bi dati odgovarajuću prednost nadzornim aktivnostima u tom području, uzimajući u obzir mogući utjecaj takvih kibernapada na stabilnost, integritet i pouzdanost financijskog sustava, kao i operativnu i financijsku štetu te štetu za potrošače koja može nastati.

(17)

Uredbom (EU) 2024/1689 utvrđuju se usklađena pravila za stavljanje na tržište, stavljanje u uporabu i korištenje UI sustava i UI modela opće namjene u Uniji, uključujući, u određenim okolnostima, sustave i modele koje isporučuju dobavljači UI-ja sustava s poslovnim nastanom u trećim zemljama ako se izlazni rezultati UI sustava upotrebljavaju u Uniji ili je UI model integriran u sustav stavljen na tržište Unije. Ovom se Uredbom utvrđuju i posebna pravila, uključujući stroži regulatorni režim, za modele klasificirane kao UI modeli opće namjene sa sistemskim rizikom.

(18)

Uredbom (EU) 2024/2847 uvode se obvezni zahtjevi u pogledu kibernetičke sigurnosti za proizvođače koji obuhvaćaju planiranje, projektiranje, razvoj i održavanje hardverskih i softverskih proizvoda s digitalnim elementima koji se stavljaju na tržište Unije. Od proizvođača se zahtijeva i da se nose s ranjivostima tijekom životnog ciklusa svojih proizvoda. Nakon što se u potpunosti počnu primjenjivati u prosincu 2027., financijski subjekti koji takve proizvode stavljaju na tržište Unije morat će osigurati i usklađenost tih proizvoda s ovim zahtjevima.

(19)

U Preporuci ESRB/2021/17 preporučuje se da europska nadzorna tijela, zajednički u okviru Zajedničkog odbora i zajedno s Europskom središnjom bankom (ESB), ESRB-om i odgovarajućim nacionalnim tijelima, razviju učinkovit odgovor koordiniran na razini Unije u slučaju velikog prekograničnog kiberincidenta ili povezane prijetnje koji bi mogli imati sistemski učinak na financijski sektor Unije. To je dovelo do uspostave paneuropskog okvira za sistemsku koordinaciju kiberincidenata (EU-SCICF), koji pruža vrijednu i operativnu platformu za razmjenu informacija i koordinaciju među financijskim tijelima.

(20)

U tom kontekstu, ESRB ovime donosi opće upozorenje, kojim se upozorava na znatne rizike za financijsku stabilnost, a koji su dodatno pojačani razvojem FAIM-ova. U upozorenju se uzima u obzir analitički rad iz napomene ESRB-a Addressing Frontier AI Models with cyber capabilities from a financial stability perspective („Razmatranje naprednih UI modela s kibernetičkim sposobnostima iz perspektive financijske stabilnosti”), objavljene u lipnju 2026. (9),