Лідери ФРС і Міністерства фінансів проведуть термінову зустріч з генеральними директорами банків щодо кіберризиків, пов’язаних з ШІ

Міністр фінансів Скотт Бессент та голова ФРС Джером Пауелл провели термінову зустріч із лідерами Волл-стріт цього тижня, обійшовши звичайний графік брифінгів і залучивши виконавчих директорів банків до безпосередньої розмови про кіберризики, пов’язані з ШІ.

Звіти зазначили, що зустріч мала на меті забезпечити, щоб банки розуміли ризики, пов’язані з Mythos та подібними моделями, і вже вживають заходів для захисту.

Коли міністр скарбниці та голова ФРС разом викликають керівників банків до термінової кімнати, вони повідомляють, що ризик є системним.

Іронія, що пронизує цей епізод, гостра.

2 березня Міністерство фінансів, Державний департамент і Міністерство охорони здоров’я зупинили використання продуктів Anthropic, діючи за указом президента, при цьому Bessent публічно заявив, що Міністерство фінансів припиняє всі використання.

9 березня Генеральна адміністрація послуг припинила урядовий контракт компанії Anthropic. 8 квітня федеральний апеляційний суд відмовився заборонити включення Anthropic до чорного списку Пентагону, поки триває судовий процес.

Отже, протягом того ж тижня чиновники керували активними закупівлями та суперечкою з приводу національної безпеки з Anthropic, одночасно попереджаючи найбільші банки країни підготуватися до ризиків, пов’язаних з можливостями класу Anthropic.

Доказова база для офіційного попередження ґрунтується на матеріалах Anthropic, які є більш конкретними, ніж типові заяви щодо запуску моделей.

Anthropic стверджує, що Mythos виявив тисячі вразливостей високого рівня серйозності, включаючи недоліки в кожній основній операційній системі та кожному основному веб-переглядачі, і що більше 99% з них все ще не виправлені.

Картка системи компанії описує модель як здатну виявляти та експлуатувати нульові дні на цих платформах. Це той тип здатності, який у неправильних руках або при виході без координації скорочує термін між виявленням вразливості та збройним нападом.

Відповіддю Anthropic на власні висновки стало обмеження доступу за структурою, яку вона називає Project Glasswing, з обмеженням розповсюдження лише для партнерів запуску, включаючи Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Linux Foundation, Microsoft, Nvidia та Palo Alto Networks, а також понад 40 додаткових організацій, які розробляють або підтримують критичну програмну інфраструктуру.

Anthropic зобов’язалася надати до $100 мільйонів кредитів на використання та $4 мільйони пожертв для організацій з відкритим вихідним кодом у сфері безпеки як частину цього зусилля.

Компанія також повідомила, що проінформувала американських чиновників та ключових заінтересованих сторін до випуску, що означає, що зустріч у Міністерстві фінансів відображала обґрунтоване офіційне рішення, засноване на попередньому розкритті інформації.

Банки знаходяться в центрі цієї стурбованості, оскільки вони залежать від ширшого програмного стеку.

Фінансовий план управління ризиками сектору фінансових послуг за січень 2025 року визначає концентрацію хмарних сервісів, ланцюги постачання програмного забезпечення та нові технології, зокрема ШІ, як провідні ризики сектору, попереджаючи, що залежність від загальних постачальників та програмного забезпечення створює умови для ланцюгових відмов.

Банки використовують спільні хмарні провайдери, постачальники програмного забезпечення, платіжні системи та клирингові системи в усьому секторі. Кіберможливість, яка може ефективно знаходити та експлуатувати незапatchenі нульові дні на всіх основних операційних системах, може завдати удару взаємопов’язаній фінансовій системі з наростаючою силою.

У цій ситуації спільна інфраструктура означає, що один клас вразливостей може одночасно вплинути на кожну ноду.

18 лютого Міністерство фінансів оголосило про громадсько-приватну ініціативу, яка призначена для розробки практичних інструментів для фінансових установ щодо управління кібербезпековими ризиками, пов’язаними з ШІ.

23 березня Міністерство фінансів і Рада з фінансової стабільності запустили серію ініціатив з штучним інтелектом, заявивши, що висновки з неї допоможуть Міністерству фінансів і Раді з фінансової стабільності підсилювати стійкість і фінансову стабільність у міру того, як штучний інтелект все глибше впроваджується в основні фінансові функції.

Звіт про кібербезпеку Федеральної резервної системи за липень 2025 року включав оцінку ризиків ШІ, підсилення стійкості хмарних систем та відпрацювання планів реагування на кіберінциденти серед своїх спільних пріоритетів FBIIC/FSSCC.

Вашингтон також будував концептуальну основу довше, ніж це.

У червні 2024 року Міністерство фінансів і Рада з фінансової стабільності провели конференцію з питань ШІ та фінансової стабільності. На ній тодішній секретар Єллен визначила непрозорість, недостатнє управління ризиками та концентрацію серед постачальників моделей, постачальників даних та хмарних провайдерів як канали, через які ШІ може створювати системні вразливості.

Звіт ФСБ про ШІ за листопад 2024 року тоді закріпив чотири основні канали системної вразливості: залежність від третіх сторін та концентрація постачальників послуг, ринкові кореляції, кіберризики та невдачі моделей, даних і управління.

МВФ окремо встановив, що кібератаки на фінансові компанії становлять майже 20% усіх інцидентів, які вивчалися, а розмір екстремальних збитків збільшився до $2,5 млрд.

Mythos змусила чиновників впровадити рамки управління ризиками, над якими вони працювали майже два роки.

Протиріччя між відступом Вашингтона від закупівель і його попередженням щодо фінансової стійкості було, за задумом, пройдено через два окремих механізми прийняття рішень.

Розірвання урядових контрактів із постачальником на підставі ланцюжка постачання або міркувань національної безпеки — це рішення щодо закупівель та політики, яке проходить через єдиний набір каналів. Оцінка того, чи створюють кіберможливості передових моделей нові системні ризики для фінансового сектору, проходить через зовсім інший набір.

Зустріч підтверджує, що ці канали прийшли до однакового висновку щодо здатності з протилежних позицій, і що чиновники з закупівель вжили заходів для обмеження витрат уряду на Anthropic як постачальника.

Офіційні особи фінансової стабільності виступили з попередженням для банків, що те, що Anthropic створив, становить категорію ризику, яка вимагає термінової уваги.

Обидві реакції передбачають однакове підlyingе судження: що здатність класу Mythos має справжні операційні наслідки.

Рішення полягає в тому, що занепокоєння Вашингтона щодо того, що створив Anthropic, збереглося після розриву Вашингтоном відносин з Anthropic як постачальником.

У випадку зростання ринку Project Glasswing працює так, як задумано.

Anthropic та її партнери виявляють та усунуть матеріальні вразливості до того, як здатності копіювання стануть відкрито доступними, банки сприймають досвід як структуровану вправу з підвищення стійкості, а цей епізод стає першим доказом того, що передові AI може доставити чистий позитивний ефект для кіберзахисту, виявляючи недоліки швидше, ніж противники зможуть їх використати.

Обмежений розгортання Anthropic, її партнерський набір та ресурсні зобов’язання підтверджують цю можливість, а також той факт, що чиновники отримали попереднє ознайомлення, вступивши в діалог до публічного розголошення.

У випадку ведмедя, додаються додаткові передові моделі з порівнянними або більшими нападними можливостями, або розкриття інформації про Mythos розкривають більш стислий термін атаки, ніж поточний контролюваний опис, який публічно визнається.

Казначейство, ФРС та фінансові регулятори переходять від приватних попереджень до більш строгих очікувань щодо нагляду: більш строгі вимоги до походження програмного забезпечення, обов’язковий огляд концентрації постачальників, скорочені терміни звітування про інциденти та більш суворі стандарти операційної стійкості для банків, що мають спільні хмарні або програмні залежності.

Матеріали Ради з фінансової стабільності та Міністерства фінансів вже надають концептуальну та регуляторну основу для такого ескалювання. Екстремальні оцінки збитків МВФ та попередження Ради з фінансової стабільності щодо порушень критичної фінансової інфраструктури пояснюють, чому чиновники перейшли до активної підготовки, не чекаючи на наявний інцидент.

Наскільки швидко змінюється баланс між атакою та захистом, коли більше лабораторій набувають подібного рівня можливостей, — це відкрита змінна в обох сценаріях.

Glasswing вважає, що координований та контролюваний доступ зможе зберігати перевагу достатньо довго, щоб виправлення закрили прогалини, виявлені Mythos. Це припущення діє лише тоді, коли розрив між доступом на передовій та відкритим доступом залишається достатньо великим, щоб надати цим зусиллям реальну ефективність.

Powell та Бессент вирішили зібрати керівників банків у терміновому порядку — це найясніша офіційна визнання того, що американські чиновники вважають, що відстань скорочується швидше, ніж це може поглинути поточна кіберзахищеність фінансової системи.

Пост Чому лідери ФРС і Міністерства фінансів Пауелл і Бессент негайно відвідали зустріч з критичною кіберризикою з’явився першим на CryptoSlate.