Miksi Claude Mythos Preview on herätys Wall Streetille

Anthropicin Claude Mythos Previewa ei ole suunniteltu osakevalitsijaksi, luottoanalyytikoksi tai kaupankäyntiavustajaksi.

Malli sijoittuu tekoälyn epämukavampaan nurkkaan: kyberturvallisuuteen.

Anthropic kertoo, että Mythos voi tunnistaa ja hyödyntää aiemmin tuntemattomia ohjelmistohaavoittuvuuksia kaikissa tärkeimmissä käyttöjärjestelmissä ja selaimissa.

Pankeille, varainhoitajille, vakuutusyhtiöille, pörsseille ja maksupalveluyrityksille tuo väite osuu paljon herkemmälle alueelle kuin vain tuottavuuteen.

Rahoitus perustuu jaettuihin ohjelmistoihin, pilvipalveluntarjoajiin, maksureitistöihin, datantoimittajiin ja vuosikymmeniä vanhoihin sisäisiin järjestelmiin.

Jos tekoälymalli löytää heikkouksia nopeammin kuin instituutiot ehtivät korjata niitä, riski ei ole enää pelkästään teknologiakysymys. Siitä tulee markkinaluottamuksen ongelma.

Anthropic ei ole esittänyt Mythos Previewta yleisjulkaisuna.

Mallia käsitellään rajoitetun pääsyn kautta, mutta se kyvykkyys, jota se osoittaa, on tärkeä rahoitukselle: tekoälyjärjestelmät nopeutuvat ohjelmistohaavoittuvuuksien löytämisessä ja muuttamisessa toimiviksi hyväksikäytöiksi.

Kybermalli, jolla on taloudellisia seurauksia

Ensimmäinen virhe olisi kohdella Mythosta yhtenä yleiskäyttöisenä tekoälynä.

Toisin kuin kuluttajille suunnatut chatbotit tai tutkimuksessa, sääntelyssä ja asiakaspalvelussa nyt testattavat tekoälyavustajat, Mythos on merkityksellinen sen vuoksi, mitä se vihjaa koneiden vauhdilla tapahtuvan haavoittuvuuksien löytämisen seuraavasta vaiheesta.

Anthropic on kertonut, että sen red-team-testaus totesi Mythos Previewn pystyvän tunnistamaan ja hyödyntämään zero-day-haavoittuvuuksia kaikissa merkittävissä käyttöjärjestelmissä ja kaikissa suurissa verkkoselaimissa käyttäjän ohjeistamana.

Se olisi huomattavaa millä tahansa alalla, mutta rahoitukselle vaikutus on erityisen voimakas.

Pankit eivät ylläpidä pelkästään verkkosivuja ja sovelluksia. Ne ylläpitävät valtavia teknologiainfrastruktuureja, joihin kuuluvat ydintoiminnan järjestelmät, kaupankäyntialustat, maksuyhdyskäytävät, riskimoottorit, asiakasrekisterit, pilvipalvelut ja kolmansien osapuolien toimittajayhteydet.

Osa infrastruktuurista on modernia, mutta suuri osa on vanhaa, vahvasti räätälöityä ja vaikeasti korvattavaa.

Suuroissa instituutioissa jopa ohjelmistoriippuvuuksien kokonaiskuvan tunnistaminen voi olla haaste.

Malli, joka nopeuttaa haavoittuvuuksien löytämistä, muuttaa paineen dynamiikkaa. Puolustajat saattavat löytää heikkouksia aiemmin.

Mutta hyökkääjät, jos he saavat vastaavat kyvykkyydet, saattavat pystyä lyhentämään aikaa löydöksen ja hyväksikäytön välillä.

Tämä on keskeinen dilemma: Mythos voi vahvistaa rahoitusjärjestelmää, mutta vain jos puolustajat pystyvät omaksumaan ja toimimaan sen löydösten perusteella nopeammin kuin vastustajat pystyvät aseistamaan vastaavia työkaluja.

Kun ennustaminen halpenee

Ajay Agrawal, professori Toronton yliopiston Rotman School of Managementista ja yhteiskirjoittaja teoksissa Prediction Machines ja Power and Prediction, kertoi Invezzille, että kehittyneiden tekoälyagenttien vaikutusta tulisi tarkastella päätöksenteon taloustieteen muutoksena, ei pelkästään halpenevana analyysin tuotantotapana.

Tuo kehys on hyödyllinen Mythoksen kohdalla, vaikka mallin näkyvin kyvykkyys liittyy kyberturvallisuuteen eikä sijoitusanalyysiin.

Jos haavoittuvuuksien löytäminen halpenee, tietoturvatiimit kohtaavat enemmän löydöksiä, enemmän triage-työtä ja enemmän päätöksiä siitä, mikä on tärkeintä.

Harvinainen resurssi ei ehkä enää ole kyky havaita vika, vaan kyky arvioida, mikä vika on merkityksellisin.

Toisin sanoen rahoitusektorin pullonkaula voi siirtyä havaitsemisesta vastuunkantoon.

Korjausongelma on todellinen painekohta

Rahoituslaitokset käyttävät jo paljon varoja kyberturvallisuuteen, mutta kysymys on, pystyykö niiden toimintamalli pysymään mukana maailmassa, jossa tekoälytyökalut tuottavat vakavia turvallisuuslöydöksiä paljon nopeammassa tahdissa.

Haavoittuvuuden löytäminen ei tarkoita, että ongelma on korjattu.

Ensiksi tiimien täytyy tarkistaa, vaikuttaako virhe heidän järjestelmiinsä. Kehittäjien on testattava sitä, riskitiimien on arvioitava altistusta, ja liiketoimintajohtajien on ymmärrettävä, voisiko korjaus häiritä kriittisiä palveluja.

Toimittajien saattaa myös olla julkaistava päivityksiä, ja sääntelyviranomaiset on ehkä informoitava. Joissain tapauksissa jopa korjaus voi luoda uusia operatiivisia riskejä.

Tuo työnkulku on hidas, koska pankkiteknologia ei ole puhdas laboratorio. Se on elävä järjestelmä, joka on pidettävä käynnissä.

Mythoksen julkistus viittaa tulevaisuuteen, jossa kyberturvallisuuden löydöspuoli nopeutuu ja halpenee, kun taas korjaaminen pysyy ihmisten, hallinnon, legacy-arkkitehtuurin ja sääntelyodotusten rajoittamana.

Suuret pankit saattavat pystyä reagoimaan nopeasti resursseillaan ja henkilöstöllään; pienemmillä pankeilla ei välttämättä ole siihen edellytyksiä.

Suuret pilvipalveluntarjoajat saattavat pystyä korjaamaan ongelman nopeasti, mutta pieni toimittaja, joka tukee tärkeää back-office-järjestelmää, voi viedä huomattavasti pidempään.

Se tarkoittaa, että heikoin lenkki ei välttämättä sijaitse pankin sisällä. Se voi olla ulkopuolisessa palveluntarjoajassa, vaikka mainehaitta koituu pankin kannettavaksi.

Miksi IMF näkee rahoitusvakautta uhkaavan riskin

Kansainvälinen valuuttarahasto on jo siirtänyt keskustelun yritysten kyberhygieniasta laajemmalle tasolle.

Se on varoittanut, että tekoälyn mahdollistamat kybertyökalut voivat lisätä rahoitusvakautta uhkaavia riskejä, erityisesti tapauksissa, joissa instituutiot ovat riippuvaisia yhteisestä ohjelmistosta ja jaetuista palveluntarjoajista.

Rahoitusyritykset ovat yhteydessä toisiinsa muullakin kuin taseiden kautta. Ne ovat yhteydessä käyttöjärjestelmien, pilvi-infrastruktuurin, maksujärjestelmien, markkinainfrastruktuurien, viestintäverkostojen, datasyötteiden ja ohjelmistotoimittajien kautta.

Yksi hyödynnetty heikkous laajasti käytetyssä komponentissa voi siksi käyttäytyä vähemmän paikallisena teknisenä vikana ja enemmän yhteisenä shokkina.

Vaarana ei ole vain yhden pankin hakkerointi. Vaarana on, että monet instituutiot havaitsevat samassa hetkessä jakavansa saman altistuksen.

Tuossa tilanteessa kyberriski voi muuttua likviditeettiriskiksi, markkinariskiksi ja luottamusriskiksi.

Edelleen on puskuria, kuten IMF huomauttaa: kehittyneet tekoälykyvyt kyberkyvyissä eivät ole vielä laajasti saatavilla, ja suljetut, toimialakohtaiset rahoitusohjelmistot voivat olla vaikeampia kohdistaa kuin avoimen lähdekoodin infrastruktuuri.

Mutta nuo suojat voivat heikentyä kyvykkyyksien leviäessä, mallien parantuessa ja hyökkääjien oppiessa yhdistämään julkista tietoa automatisoituihin työkaluihin.

Sääntelyviranomaiset siirtyvät huolesta toimintaan

Euroopan keskuspankki on toiminut nopeasti palauttaakseen operatiivisen resilienssin pankkikeskustelun ytimeen.

Frank Elderson, EKP:n johtoneuvoston jäsen ja sen valvontaneuvoston varapuheenjohtaja, on varoittanut, että huippuluokan tekoälymallit muuttavat kyberuhkakenttää madaltamalla hyökkääjien esteitä ja lisäämällä hyväksikäytön nopeutta.

EKP on myös todennut, että pankit tarvitsevat monivuotisia investointeja ihmisiin, järjestelmiin ja hallintoon, eikä pelkkää teknologista pikakorjausta.

Eldersonin viesti oli suorapuheinen:

Tuo ero on merkityksellinen, sillä sääntelijät näyttävät suhtautuvan Mythokseen ei paniikkitapahtumana vaan todisteena siitä, että pitkään olleet kyberheikkoudet saatetaan joutua korjaamaan nopeammin.

Pankit ovat käyttäneet vuosia resilienssikehysten rakentamiseen, kyberstressitestien suorittamiseen ja häiriötilanteiden käsittelyn parantamiseen.

Mutta mallien, jotka voivat löytää ja hyödyntää heikkouksia tehokkaammin, tulo muuttaa aikataulua.

Hyökkääjä-puolustaja-kilpailu muuttuu epäsymmetriseksi

Epämiellyttävä osa Mythos-tarinaa on se, että sama kyvykkyys voi hyödyttää molempia osapuolia.

Puolustajille malli, joka voi tarkastaa koodia, löytää haavoittuvuuksia ja auttaa korjausten priorisoinnissa, on arvokas.

Se voisi auttaa pankkeja skannaamaan vanhoja järjestelmiä, tarkastamaan kolmannen osapuolen koodia, testaamaan sisäisiä työkaluja ja löytämään heikkouksia ennen hyökkääjiä. Se voisi myös vähentää riippuvuutta niukoista ihmiskyberturva-asiantuntijoista.

Mutta kyberturva ei ole yksipuolinen kilpailu. Jos vastaavat tekoälykyvyt leviävät muutaman kontrolloidun laboratorion ulkopuolelle, hyökkääjät voivat hyötyä yhtä nopeasti kuin puolustajat.

Toisin kuin pankkien ja suojaustiimien, hyökkääjien ei tarvitse suojata koko järjestelmää; heidän tarvitsee vain löytää yksi heikko sisäänpääsykohta.

Anthropicin oma kuvaus Mythoksesta korostaa kyvykkyyden merkitystä:

“Mythos Preview kykenee tunnistamaan ja sitten hyödyntämään zero-day-haavoittuvuuksia kaikissa merkittävissä käyttöjärjestelmissä ja kaikissa suurissa verkkoselaimissa.”

Se ei tarkoita, että jokaisella hyökkääjällä olisi pääsy Mythokseen, sillä Anthropic on kehystänyt mallin rajoitetuksi ja hallituksi.

Mutta kehityssuunta on riittävän selvä, että pankit voivat suunnitella sen mukaisesti.

Uusi riskipreemio vanhalle teknologialle

Mythos ei tee rahoitusta vaaralliseksi yhdessä yössä, sillä ala on yhä yksi maailman tiukimmin säännellyistä ja kybertietoisuudeltaan korkeista talouden osista.

Pankit ovat käyttäneet runsaasti varoja turvallisuuteen, ja monet käyttävät jo tekoälyä petosten havaitsemiseen, uhkien seurantaan ja asiakkaiden suojaamiseen.

Silti malli on varoitus nopeuden merkityksestä.

Rahoitus on muuttunut digitaalisemmaksi, ulkoistetummaksi ja entistä verkottuneemmaksi, ja vaikka se on tehnyt järjestelmästä tehokkaamman, se on luonut myös yhteisiä vikaantumiskohtia.

Jos tekoäly lyhentää aikaa, joka kuluu heikkouksien löytämiseen ja hyväksikäyttöön, vanhat korjaussyklit, hitaat toimittajaprosessit ja pirstaleinen vastuunkanto muuttuvat vaarallisemmiksi.

Voittajia eivät ole yksistään ne yritykset, joilla on pääsy parhaaseen malliin. Voittajia ovat ne, jotka osaavat muuttaa nopeamman löydön nopeammiksi ja turvallisemmiksi päätöksiksi.

Wall Streetille ja laajemmalle rahoitusjärjestelmälle Mythos ei siis ole pelkästään kyberkertomus. Se on kertomus operatiivisen resilienssin muuttumisesta rahoitusresilienssiksi.

Luottamukseen perustuvassa markkinassa kyky jatkaa toimintaa digitaalisessa kuormituksessa saattaa käydä yhtä tärkeäksi kuin kyky kestää taseen tappioita.