La BCE chiede alle banche dell'eurozona di rafforzare la sicurezza informatica mentre l'IA modifica il quadro delle minacce

      La Banca Centrale Europea ha formalmente comunicato alle banche della zona euro che devono rafforzare la loro postura di sicurezza informatica in risposta agli strumenti di attacco guidati dall'IA, in una dichiarazione di follow-up rilasciata mercoledì che trasforma le precedenti indicazioni private in qualcosa di più vicino a un'aspettativa di vigilanza.

      Il vicepresidente del Meccanismo di Vigilanza Unico della BCE, Frank Elderson, ha inquadrato il cambiamento di linguaggio che segnala una postura normativa più rigida piuttosto che un documento di discussione.

      Il fattore scatenante rimane Mythos di Anthropic, il modello di IA ad accesso ristretto che può scoprire ed esploitare autonomamente le vulnerabilità informatiche a velocità di macchina. Mythos ha dimostrato di combinare debolezze minori in attacchi più gravi e di ingegnerizzare a ritroso le patch in difetti sfruttabili più velocemente delle catene di strumenti più vecchie.

      L'accesso è stato limitato da Anthropic a circa 40-50 organizzazioni, tra cui un pugno di banche statunitensi; nessuna istituzione della zona euro è presente nella lista. La posizione della BCE, secondo le parole di Elderson all'inizio di questo mese, è che "la mancanza di accesso non è una scusa per l'inazione."

      La dichiarazione di mercoledì estende quel quadro. Le banche ora devono presumere che gli attaccanti avranno accesso a strumenti di IA di capacità comparabile, indipendentemente dal fatto che i difensori lo abbiano o meno.

      L'implicazione di vigilanza è che i tradizionali cicli di patching software mensili non sono più adeguati, che le relazioni con i fornitori devono essere verificate per la stessa esposizione e che l'intera postura istituzionale attorno alla gestione delle vulnerabilità deve comprimersi ai tempi degli attaccanti IA. La BCE ha indicato che incorporerà la prontezza alla sicurezza informatica basata sull'IA nei dialoghi di vigilanza con le singole banche.

      Anche il contesto politico e commerciale è cambiato. BNP Paribas sta ora lavorando pubblicamente con Mistral su una risposta europea sovrana a Mythos, in quello che è funzionalmente un'hedge a livello continentale. Bruxelles è stata in trattative bloccate con Anthropic per diverse settimane per espandere l'accesso a Mythos alle istituzioni europee; la Spagna ha descritto quelle trattative come bloccate.

      La dichiarazione della BCE è, di fatto, il lato di vigilanza dello stesso problema: i regolatori non possono aspettare che la questione dell'accesso si risolva prima di insistere su una postura difensiva.

      La domanda più difficile è quale cambiamento concreto le banche siano effettivamente tenute a fare. La BCE non ha pubblicato un elenco specifico di controlli tecnici, in parte perché la superficie di minaccia si sta evolvendo più velocemente di quanto qualsiasi checklist statica possa catturare.

      La cosa più vicina a un manuale operativo è l'aspettativa implicita che le banche ora trattino qualsiasi vulnerabilità non patchata come un obiettivo scopribile, e che il tempo medio per la patch per i sistemi critici crolli da settimane a giorni o ore.

      Le banche più piccole della zona euro, che storicamente si sono affidate a fornitori di infrastrutture esternalizzati per il livello tecnico, si trovano in una posizione più debole per rispettare quel cronoprogramma rispetto alle tre grandi banche universali.

      La BCE ha anche segnalato l'esposizione dei fornitori come il problema asimmetrico. La maggior parte delle banche della zona euro ha una lunga lista di fornitori di software di terze parti la cui disciplina di patch è irregolare; un attaccante guidato dall'IA che scopre una vulnerabilità in un singolo prodotto di un fornitore ampiamente distribuito può pivotare in più ambienti bancari attraverso quella relazione con il fornitore.

      L'esposizione della catena di fornitura in stile Solarwinds che ha caratterizzato la fine degli anni 2010 è ora reinterpretata in forma di attaccante IA. Il quadro di Elderson è che i supervisori terranno le banche responsabili per la sicurezza dei loro fornitori, non solo per la propria.

      Le banche della zona euro hanno tempo fino alla fine del 2026 per dimostrare la prontezza contro la nuova postura della BCE, con dialoghi di vigilanza formali che inizieranno durante l'estate. Mythos stesso, secondo le attuali segnalazioni pubbliche, non è stato dimostrato in azione contro un'istituzione europea.