La banca ultima el plan de contingencia que remitirá al BCE para hacer frente a Mythos
Las entidades defenderán sus capacidades técnicas y propondrán planes de gobierno de los modelos de IA más potentes
La banca prepara su respuesta al Banco Central Europeo (BCE) con planes de contingencia sobre la amenaza del potente nuevo modelo de IA desarrollado por Anthropic, Mythos. Las entidades cuentan de plazo hasta finales de mes para detallar al supervisor una hoja de ruta con la que hacer frente a esta nueva amenaza en ciberseguridad, según indican fuentes financieras.
Las alarmas saltaron en Fráncfort a principios de año, según llegaban las noticias del nuevo modelo de IA de Anthropic. La cuestión se centraba en la capacidad que presenta para analizar las vulnerabilidades de un software en cuestión de minutos y cómo explotarlas para generar un ciberataque. En el caso de los bancos, les puede ayudar a detectar las vulnerabilidades de sus sistemas y hacerlos inexpugnables. Mal utilizado, puede provocar que el dinero de las cuentas corrientes de sus clientes se evapore en cuestión de minutos.
Primero, el BCE convocó a todos los bancos a una reunión para testar su resistencia a un ataque de este tipo. Pero las cosas pasaron pronto a mayores. En primavera, decidió utilizar una de las mayores armas de las que dispone para dirigirse a los bancos. Les envió una carta dirigida directamente a los presidentes ejecutivos y consejeros delegados de las entidad, las conocidas como Dear CEO Letter. Por ejemplo, fue la fórmula que eligió el banco central para suspender el pago de dividendos por parte de las entidades durante el Covid-19.
En la misiva, el supervisor ha reclamado a los principales bancos de la Eurozona que le remitan antes del 31 de octubre un plan de acción para enfrentar este nuevo riesgo. Busca que las entidades aceleren la gestión de vulnerabilidades de software y su parcheo; monitoricen y detecten las capacidades defensivas de la IA, y verifiquen que sus proveedores trabajen con seguridad. En el largo plazo, plantea que modernicen y reemplacen su tecnología más antigua y que mejoren su resiliencia operativa con mecanismos de recuperación tras crisis o compartiendo información.
Los bancos han trabajado en ello durante todo el verano, de la mano de los equipos conjuntos de supervisión (los conocidos como JST). Y ya cuentan con borradores de esas hojas de ruta, que tienen que remitir al BCE a lo largo de este mes. Las fuentes consultadas coinciden en avanzar que los bancos defenderán las capacidades técnicas con las que cuentan, tras años poniendo el foco en cuestiones de ciberseguridad, para abordar este tipo de ataques. Uno de los argumentos también será que los bancos ya utilizan modelos similares a Mythos desarrollados por otras empresas de IA, si bien el de Anthropic no está disponible para empresas europeas por el celo de Donald Trump a tenerlo bajo su control y solo para firmas de EE UU.
La clave del documento estará en las propuestas que hagan para reforzar el gobierno de la ciberseguridad. Ya en la carta del BCE era una de los aspectos donde se ponía un foco especial. Aspira a que el debate sobre la cuestión llegue a la más alta instancia de las entidades, en el consejo de administración y comandadas por su primer ejecutivo. Y que ahí se debatan cuestiones como si el presupuesto asignado a ciberseguridad y los equipos al respecto son los adecuados o los planes para responder a determinados tipos de ataques.
Batería de medidas
El BCE reclama a los bancos que se retraten también con respecto a una batería de medidas concretas que propone. Por ejemplo, insta a las entidades a potenciar las actividades de formación a la plantilla sobre estas cuestiones y a revisar la cadena de suministro y los acuerdos con proveedores tecnológicos. Les urge a hacer análisis preventivos, ayudados eventualmente por el uso de estas otras herramientas de IA, así como a estar preparados para parchear estos fallos rápidamente y hacer los cambios necesarios en la tecnología para ello. También reclama que identifiquen todos los activos tecnológicos con los que trabajan, también los de terceros, o minimizar los expuestos a internet y accesibles desde fuera de la entidad, incluidos los entornos en la nube.
La preocupación de la institución por las cuestiones de ciberseguridad es máxima y no es de ahora. De hecho, figura entre sus prioridades de supervisión para los últimos ejercicios. Ya en 2024 realizó una ronda de test de estrés centrados en poner a prueba la resistencia de los bancos a esta cuestión.
“No estamos diciendo a los bancos exactamente cómo deben utilizar estos sistemas. Sin embargo, queremos que entiendan claramente que esto representa un cambio de escala, que se trata de una cuestión estratégica. Y por eso queremos que se debata a nivel de consejo de administración en los bancos. Es algo mucho más importante que el consejo deberá abordar. Por eso dirigimos la carta a los consejeros delegados. Lo que estamos diciendo a los bancos es: háganse resilientes. Hay modelos a los que quizá no tengan acceso en este momento, pero se puede hacer mucho utilizando los modelos ya disponibles”, afirmó Frank Elderson, vicepresidente del Consejo de Supervisión del BCE, en una conversación con este periódico.