(1)

A vezető mesterségesintelligencia-szolgáltatók élvonalbeli mesterségesintelligencia-modelleket (élvonalbeli MI-modellek) fejlesztettek ki, amelyek rendkívüli képességekkel rendelkeznek a kiberbiztonság területén, és teljes mértékben automatizált kibertámadásokat képesek végrehajtani összetett rendszerek ellen, többek között a sérülékenységek felfedezése és a sebezhetőségek kihasználásának fejlesztése és fegyverként való felhasználása révén, alapjaiban megváltoztatva ezáltal a kiberfenyegetési környezetet.

(2)

Az élvonalbeli MI-modellek a korábbi MI-modelleknél sokkal jobbak a kibertámadások végrehajtási módjainak megtalálásában, a költségek, a gyorsaság és a pontosság tekintetében jobbak a korábbi modelleknél, és mostanra felveszik a versenyt a legjobb emberi szakértőkkel.

(3)

Az élvonalbeli MI-modellek képesek veszélyeztetni a pénzügyi infrastruktúra alapját képező információs és kommunikációs technológiai (IKT) környezet alapjául szolgáló rendszereket, növelve a rendszerszintű hatással járó kiberbiztonsági események valószínűségét és súlyosságát.

(4)

Az élvonalbeli MI-modellek bebizonyították, hogy meg tudják találni a sérülékenységeket és ki tudják alakítani a sebezhetőségek kihasználásának új változatait, kibertámadási kockázatnak kitéve ezáltal a szinte minden szervezet IKT-környezetében használt főbb operációs rendszereket és szoftvereket.

(5)

Az ilyen sérülékenységek felfedezése a múltban ritkán fordult elő, és gyakran a biztonsági területen tevékenykedő kutatók tárták fel azokat, ez pedig lehetővé tette a célzott helyreállítást. Ilyen esetben a szoftverszolgáltatóknak gyakran egy rendszeresített időkeretet – általában 90 napot – biztosítanak arra, hogy a nyilvános bevezetés előtt kijavítsák a sérülékenységet. Az élvonalbeli MI-modellek azonban valószínűleg növelni fogják a feltárt sérülékenységek volumenét.

(6)

A pénzügyi rendszer jelenlegi hibajavító gyakorlatai túlnyomórészt reaktívak, időszakos frissítésekre és a feltárt sérülékenységekre adott ad hoc válaszokra támaszkodnak. Ez a megközelítés olyan fenyegetettségi környezetben működik, ahol van arra idő, hogy a sérülékenységek felfedezése kezelhető maradjon. A sérülékenységek volumenének növekedésével azonban a jelenlegi gyakorlatok elégtelenné válhatnak a működési reziliencia fenntartásához.

(7)

Ez a volumennövekedés túlterheli a jelenlegi hibajavító folyamatokat is, mivel azok a kockázaton alapuló korrekciós intézkedéseket részesítik előnyben, és a működési stabilitás biztosítása érdekében a végrehajtás előtt megkövetelik a szoftverjavítások tesztelését. Ha rövid időn belül túl sok kritikus hatású sérülékenységet fedeznek fel és így jelentősen nő a szükséges kritikus szoftverjavítások száma, előfordulhat, hogy a pénzügyi intézményeknek választaniuk kell: vagy jelentős kiberkockázatoknak teszik ki magukat, vagy csökkentik a javítástesztelési követelményeket és ezáltal kockáztatják a működési zavarokat és üzemszüneteket.

(8)

A sebezhetőségek kihasználásának fegyverként való felhasználása korábban nagyrészt manuálisan történt és az emberi szakértőknek napokra vagy hetekre volt ehhez szükségük, az élvonalbeli MI-modellek azonban jelenleg perceken vagy órákon belül megvalósítják azt. Ez a kritikus és fontos funkciók helyreállítás közbeni folytonosságának a fenntartásához szükséges védelmi időpufferek összeomlását jelenti.

(9)

Az MI-n alapuló kritikus sérülékenységeknek megfeleltethető, a sebezhetőségek kihasználása fegyverként való felhasználásának elterjedésével és a védelmi időpufferek ennek megfelelő rövidülésével meredeken nő az egyes kritikus vagy fontos funkciókat és intézményeket fenyegető kockázat. Ha ezek a kockázatok egyidejűleg jelentkeznek az említett funkcióknál és intézményekben, ez a rendszerszintű kiberkockázat tartós fokozódását eredményezheti, amelyre vonatkozóan jelenleg nem áll rendelkezésre teljes mértékben hatékony kockázatcsökkentési keretrendszer. Az uniós pénzügyi ágazaton belüli, valamint az ezen ágazat és más ágazatok és országok közötti erős összekapcsoltság miatt ez a helyzet rendszeres kockázatot jelent, és rendszerszintű instabilitást teremthet.

(10)

Emellett jelenleg csak kevés MI-szolgáltató fejleszt élvonalbeli MI-modelleket, és közülük többen aggodalmukat fejezték ki amiatt, hogy a jövőbeli élvonalbeli MI-modellek túl erősek lehetnek a korlátlan nyilvános hozzáférhetővé tételhez.

(11)

Rosszindulatú szereplők már most is MI-t használnak a kibertámadások fokozására. Valószínű, hogy – akár szivárgás, lopás, független fejlesztés vagy nyílt hozzáférés révén – ezek a szereplők végül olyan MI-modellekhez jutnak, amelyek a jelenleg ellenőrzött defenzív környezetben alkalmazott modellekhez hasonló képességekkel rendelkeznek.

(12)

Bár az élvonalbeli MI-modellek jelentősen növelhetik a támadó jellegű képességeket és a kifinomult kibertámadások valószínűségét, ugyanakkor erősítik a védekező képességeket is, különösen a sérülékenységek feltárása, az adatok összevetése és az egyes intézmények korrekciós intézkedései tekintetében. Rövid- és középtávon azonban a támadó jellegű képességek sebességének, nagyságrendjének és pontosságának növekedése valószínűleg meghaladja az előnyöket.

(13)

Az élvonalbeli MI-modellek gyors fejlődése szükségessé teszi a pénzügyi stabilitást fenyegető azonosított kockázatok haladéktalan kezelését azok bekövetkezésének megelőzése vagy legalább potenciális hatásuk enyhítése érdekében. Az uniós pénzügyi piacok pénzügyi stabilitásának biztosítása érdekében makroprudenciális és mikroprudenciális szakpolitikai intézkedéseikkel összefüggésben az Európai Rendszerkockázati Testület (ERKT) valamennyi tagjának figyelembe kell vennie az élvonalbeli MI-modelleknek a pénzügyi intézmények működési képességére és rezilienciájára gyakorolt hatásait. Ez nem sérti az uniós központi bankok monetáris politika területén fennálló mandátumát. Például – és egyben más hatóságok jelenlegi kezdeményezései mellett – az EKB felügyeleti szerepkörében eljárva azt kérte a jelentős intézetektől, hogy késedelem nélkül értékeljék a fokozódó fenyegetettségi környezet hatásait, és hogy 2026. október 31-éig alakítsanak ki átfogó cselekvési tervet az ilyen kockázatok kezelését célzó konkrét intézkedésekkel (4).

(14)

Az MI-technológia terjedésével fontos biztosítani azt, hogy valamennyi kritikus infrastruktúra és különösen a pénzügyi intézmények felkészültek legyenek az élvonalbeli MI-modelleken alapuló kibertámadásokkal szembeni fellépésre, valamint azt, hogy időben és megfelelő előkészületeket tegyenek. Az egyes szervezetek ilyen védelmi erőfeszítései azonban nem lennének elegendőek. A hatékony reagáláshoz és kockázatcsökkentéshez összehangolt válaszra van szükség, amelyben valamennyi érintett fél részt vesz, beleértve az MI-szolgáltatókat, a szoftverszolgáltatókat, a biztonsági cégeket, a nyílt forráskódú karbantartókat, a pénzügyi intézményeket, valamint a nemzeti és uniós szintű hatóságokat.

(15)

A fenti kérdések kezelése során fontos emlékeztetni a vonatkozó uniós jogi és szakpolitikai keretekre, különösen az (EU) 2022/2554 európai parlamenti és tanácsi rendeletre (5), az (EU) 2024/1689 európai parlamenti és tanácsi rendeletre (6), az (EU) 2024/2847 európai parlamenti és tanácsi rendeletre (7) és az ERKT/2021/17 európai rendszerkockázati testületi ajánlásra (8).

(16)

Az (EU) 2022/2554 rendelet átfogó keretet biztosít a pénzügyi intézmények számára az IKT-kockázatok – többek között a kibertámadásokból eredő kockázatok – azonosításához, kezeléséhez, nyomon követéséhez és csökkentéséhez. Tekintettel a pénzügyi ágazat összekapcsoltságára, valamint az IKT-rendszerekre és harmadik fél szolgáltatókra való támaszkodására, az egy vagy több pénzügyi intézményt vagy azok kritikus szolgáltatóit érintő sikeres kibertámadás jelentős rendszerszintű következményekkel járhat. A pénzügyi felügyeleti hatóságoknak megfelelő elsőbbséget kell biztosítaniuk az e területen végzett felügyeleti tevékenységeknek, tekintettel az ilyen kibertámadásoknak a pénzügyi rendszer stabilitására, integritására és megbízhatóságára gyakorolt lehetséges hatására, valamint az ebből eredő működési, pénzügyi és fogyasztókat érintő károkra.

(17)

Az (EU) 2024/1689 rendelet harmonizált szabályokat állapít meg az MI-rendszerek és az általános célú MI-modellek Unión belüli forgalomba hozatalára, üzembe helyezésére és használatára vonatkozóan, ideértve bizonyos körülmények között a harmadik országokban letelepedett MI-szolgáltatók által biztosított rendszereket és modelleket is, ha az MI-rendszer által előállított kimenet használatára az Unióban kerül sor, vagy ha egy MI-modellt az uniós piacon forgalomba hozott rendszerbe integrálnak. A rendelet egyedi szabályokat is megállapít, ideértve a rendszerszintű kockázatot jelentő általános célú MI-modellként besorolt modellekre vonatkozó szigorúbb szabályozási rendszert is.

(18)

Az (EU) 2024/2847 rendelet kötelező kiberbiztonsági követelményeket vezet be a gyártók számára, amelyek kiterjednek az uniós piacon forgalomba hozott, digitális elemeket tartalmazó hardver- és szoftvertermékek tervezésére, kialakítására, fejlesztésére és karbantartására. Előírja továbbá a gyártók számára azt, hogy termékeik élettartama alatt kezeljék a sérülékenységeket. Amint 2027 decemberében teljes mértékben alkalmazandóvá válik, az ilyen termékeket az uniós piacon forgalomba hozó pénzügyi szervezeteknek azt is biztosítaniuk kell, hogy ezek a termékek megfeleljenek ezeknek a követelményeknek.

(19)

Az ERKT/2021/17 ajánlás azt ajánlotta, hogy az európai felügyeleti hatóságok (EFH-k) a vegyes bizottságon keresztül közösen, valamint az Európai Központi Bankkal (EKB), az ERKT-val és az érintett nemzeti hatóságokkal közösen dolgozzanak ki eredményes, koordinált uniós szintű elhárítást olyan jelentős, határokon átnyúló kiberbiztonsági esemény vagy az ahhoz kapcsolódó fenyegetés esetén, amely rendszerszintű hatással lehet az Unió pénzügyi ágazatára. Ennek eredményeként létrejött a rendszerszintű kiberbiztonsági események páneurópai koordinációs kerete (EU-SCICF), amely értékes és operatív platformot biztosít a pénzügyi hatóságok közötti információcseréhez és koordinációhoz.

(20)

Mindezek alapján az ERKT általános jellegű figyelmeztetést fogad el a pénzügyi stabilitásra vonatkozó, az élvonalbeli MI-modellek fejlődése által felerősített jelentős kockázatok kezeléséről. A figyelmeztetés figyelembe veszi az ERKT-nak a kiberképességekkel rendelkező élvonalbeli MI-modellek pénzügyi stabilitási szempontból történő kezelése témakörben 2026 júniusában közzétett feljegyzésében (9) végzett elemző munkát,