Anthropic deja de lado a los bancos europeos en el acceso a su IA que cambia el paradigma de la seguridad
Es un tema tan sensible que el sector, que tiene la ciberseguridad por bandera y en su ADN operativo, habla de él con todas las precauciones del mundo. Los grandes bancos europeos se han quedado fuera –al menos, de momento– del acceso restringido a Claude Mythos, el modelo de inteligencia artificial de Anthropic que puede llevar la ciberseguridad a un nuevo nivel, por ser capaz de detectar fallos que hasta ahora habían pasado desapercibidos. Esa carencia contrasta con que Anthropic sí ha habilitado el sistema a las entidades de Estados Unidos –hace más de un mes– y del Reino Unido –desde mediados de abril. Esto ha puesto en alerta al Banco Central Europeo (BCE), que ha pedido a las empresas financieras que estén preparadas.
Esa ausencia de accesibilidad también ha llevado a las autoridades europeas y españolas a reclamar pasos por parte de Anthropic, cuanto antes mejor, lo que deja claro el calado del problema. El pasado lunes, el ministro de Economía, Carlos Cuerpo, criticó que “Europa no puede ser una región de segunda” y defendió que tenga “acceso temprano” para “descubrir cuáles son las vulnerabilidades existentes y protegernos a la velocidad a la que están desarrollándose estos modelos”.
“Es necesario tener una respuesta desde Europa, con las herramientas que tenemos, incluyendo la regulación con la normativa Artificial Intelligence Act, podemos defendernos y empujar para que nuestras empresas también tengan acceso a estos modelos y sean capaces de protegerse por lo que pueda venir”, recalcó Cuerpo.
Europa no puede ser una región de segunda
Solo un día después, el presidente del Eurogrupo, Kyriakos Pierrakakis, ministro de Economía y Hacienda de Grecia, asumió “el desafío” que suponen “tecnologías como la IA”, que “requieren marcos de gobernanza internacional en un momento en que el multilateralismo está siendo cuestionado”.
Y advirtió de que Europa no puede permitirse “el lujo de no intentar establecer canales de comunicación con Estados Unidos, tanto sobre este tema como sobre otros, porque, francamente, los cambios que veremos derivados de la IA serán significativos”. “Parte de la cuestión es si se tendrá acceso a determinados LLM [en referencia a los Grandes Modelos de Lenguaje, como se conoce a estos sistemas] y a algoritmos específicos”.
El responsable del Eurogrupo también señaló que “otra parte es cuán fuerte se es en este debate para poder participar de manera no asimétrica en cualquier discusión tecnológica, ya sea en el ámbito de la IA o en cualquier otro tipo de tecnología. Este es un tema que afecta al comercio y, en realidad, a casi todo en el contexto de la relación transatlántica; por eso esta cuestión será abordada por la Comisión”. “Estamos en contacto con la empresa, por lo que esperamos que ese acceso pueda obtenerse”, adelantó sobre la multinacional tecnológica.
Es un tema que afecta al comercio y, en realidad, a casi todo en el contexto de la relación transatlántica
Europa asume que está en contacto con Anthropic, pero el gigante estadounidense no da su brazo a torcer. Por ejemplo, la Comisión de Mercado Interior del Parlamento Europeo ha invitado a la compañía a participar en una audiencia pública a finales de esta semana. Anthropic ha indicado que “no podía aceptar la invitación con tan poca antelación”.
¿Por qué es un problema para la banca?
Mythos es capaz de detectar agujeros en sistemas informáticos que habían pasado desaparecidos para los especialistas humanos y corregirlos. Sin embargo, también permite explotarlos, lo que ha disparado las alarmas que no tienen acceso a él.
Por el momento, las organizaciones que lo han probado no han dado demasiados detalles sobre su impacto real. La única que ha publicado datos concretos ha sido la Fundación Mozilla, que aseguró que gracias a Mythos pudo encontrar y corregir 271 fallos de seguridad de su navegador Firefox. El Instituto de Seguridad de la Inteligencia Artificial británico, que también ha tenido acceso al modelo, llevó a cabo una simulación en la que esta IA completó un ciberataque a un entorno corporativo de 32 pasos, algo que ninguna otra había ejecutado antes.
El cambio de paradigma que puede suponer el nuevo modelo de Anthropic abarca todos los sectores, pero la banca es uno de los más sensibles a cualquier cuestión de ciberseguridad. Algunas grandes entidades españolas comentan esa falta de acceso preferente. Otras, en cambio, prefieren guardar silencio a la espera de ver qué pasa en las próximas semanas.
Que el sector se está preparando es obvio. El BCE convocó hace unos días a los principales responsables de Riesgos del sector financiero para pedir que estén preparados. Entre ellos, los de las grandes entidades españolas. “Existió esa reunión”, asumió el consejero delegado de Santander, Héctor Grisi, en la rueda de prensa de resultados del primer trimestre. A la cita acudieron, apuntó, “los jefes de Riesgos de los principales bancos, el nuestro estuvo presente”.
A pesar de reconocer ese encuentro, ni las empresas ni el propio BCE detallan de qué se habló y qué se reclamó. El organismo presidido por Christine Lagarde se escuda en que no comenta las reuniones que mantiene con los bancos.
La ciberseguridad es una prioridad para el banco. Una de las mayores preocupaciones
“La ciberseguridad es una prioridad para el banco. Una de las mayores preocupaciones. Evaluamos siempre las infraestructuras, con nuevas capacidades basadas en IA, actualizando los protocolos, trabajando con socios para que la IA se utilice para proteger mejor a los clientes. Trabajamos sin parar para que no haya ningún problema”, enumeró el CEO de Santander a los medios.
En la misma línea, su homólogo de BBVA, Onur Genç, también se refirió a esa cita con el BCE. “Seguiremos reforzando nuestros sistemas de seguridad”, apuntó. “Estuvimos en esa reunión”, a la que trató de restar peso. “No se trata de alarma, sino de estudiar la situación, ver qué podría ocurrir. Es un modelo de Anthropic bastante potente” y se trata de “ver cómo podemos luchar contra las amenazas, estar protegidos”.
elDiario.es ha contactado con Anthropic en varias ocasiones para preguntar por el acceso de los bancos europeos a Mythos, pero no ha recibido respuesta. La compañía está inmersa en negociaciones clave con la Casa Blanca tras un conflicto con el Pentágono por los límites de la aplicación militar de su tecnología.
El riesgo para los bancos europeos aumenta con tiempo, conforme otras organizaciones prueban Mythos y crecen las posibilidades de que alguien lo saque del circuito de seguridad. Anthropic, de hecho, investiga una posible filtración del modelo a terceros que no deberían haber tenido acceso a él, a través de uno de sus proveedores.
Estar preparados
La Comisión Europea y los organismos especlializados están intentando engrasar el proceso. Fuentes oficiales de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) indican a elDiario.es que la entidad “está actualmente en contacto con organizaciones que han accedido o han revisado el modelo. No obstante, es demasiado pronto para que ENISA pueda proporcionar más información sobre esta cuestión en este momento”.
Mientras, piden a los bancos que se mantengan atentos. “Las recomendaciones de ENISA siguen siendo las mismas para los riesgos de la IA”, detallan: “Como primer paso, las organizaciones deben establecer una sólida estructura de gobernanza en torno a la IA, con una supervisión clara de su estrategia, roles y responsabilidades transparentes, y evitar los riesgos que surgen de la 'IA en las sombras'”, como se conoce a los procesos que integran esta tecnología sin las suficientes salvaguardas de seguridad.
La EBA, la Autoridad Bancaria Europea, reconoce por su parte a este medio que “por el momento” no “ha recibido confirmación alguna sobre el acceso de bancos o proveedores europeos al modelo Mythos. Seguimos de cerca la evolución de la ciberseguridad y la IA, mantenemos un contacto estrecho con nuestros interlocutores europeos e internacionales”, añadió un portavoz de esta agencia independiente dentro de la estructura de la UE que persigue asegurar la estabilidad del sistema financiero.
“A pesar de las dudas sobre las capacidades de Mythos y dada la limitada información disponible, la EBA considera que el marco regulatorio actual de la UE proporciona una base sólida, tanto para la industria como para los supervisores, a la hora de abordar los riesgos asociados”, apuntó. También, que “seguirá supervisando la situación con todas las partes interesadas, centrándose en cómo mitigar mejor los riesgos potenciales asociados a estas herramientas, en particular el riesgo de su uso indebido o acceso por parte de agentes malintencionados”.
El debate de fondo es de quién va a poder acceder a los avances, cuándo y cuánto. Así lo concluía el presidente del Eurogrupo: “La cuestión más estratégica es qué tipo de capacidades podremos desarrollar en los próximos meses y años para poder ser una parte mucho más sólida de la ecuación en cualquier debate tecnológico. De eso trata, precisamente, la soberanía tecnológica”.