EÚ chce využiť AI proti hackerom. Najprv ju však musí ustrážiť

Umelá inteligencia sa v kybernetickej bezpečnosti mení z pomocného nástroja na technológiu, ktorá môže rozhodovať o rýchlosti útoku aj obrany. Dokáže hľadať zraniteľnosti v softvéri, analyzovať podozrivé správanie v sieťach a pomáhať bezpečnostným tímom reagovať na incidenty.

Rovnaké schopnosti však môžu využiť aj útočníci, ktorí vďaka AI rýchlejšie automatizujú útoky, pripravujú presvedčivejšie phishingové kampane alebo cielene vyhľadávajú slabé miesta v systémoch.

Európska komisia preto predstavila Akčný plán pre kybernetickú bezpečnosť a umelú inteligenciu. Na rozdiel od doterajších iniciatív tentokrát nejde o ďalšie veľké nariadenie, ktoré by samo osebe zavádzalo nové povinnosti pre firmy. Cieľom je zosúladenie pravidiel, inštitúcií a pripravovaných nástrojov tak, aby Európa vedela AI využiť v obrane, no zároveň mala lepšiu kontrolu nad rizikami, ktoré prinášajú najpokročilejšie modely.

Plán stojí na troch hlavných cieľoch. Prvým je bezpečné a zodpovedné používanie pokročilej AI, druhým posilnenie kybernetickej odolnosti EÚ a tretím rozvoj európskych AI kapacít pre oblasť kybernetickej bezpečnosti. Komisia tým nadväzuje na existujúci regulačný rámec, najmä Akt o umelej inteligencii, smernicu NIS2, Akt o kybernetickej odolnosti, DORA a Akt EÚ o kybernetickej solidarite. Nový dokument nemá nahradiť platné pravidlá, ale prepojiť ich s konkrétnymi nástrojmi pre testovanie, hodnotenie a nasadzovanie AI v bezpečnostnom prostredí.

Jedným z najdôležitejších prvkov bude európska kapacita na hodnotenie AI modelov. Komisia chce spustiť výzvu na jej vytvorenie, pričom systém má byť funkčný v roku 2027. Hodnotenie sa má zamerať aj na kybernetické schopnosti modelov, teda na to, ako môžu modely pomáhať pri obrane, ale aj na to, ako by mohli byť zneužité. Táto kapacita má podporiť prácu AI Office a posilniť nezávislé posudzovanie schopností a rizík pokročilých modelov pred ich uvedením na európsky trh.

Druhou časťou je prístup k pokročilým AI systémom pre bezpečnostné účely. Komisia spolu s agentúrou ENISA pripraví európsky rámec, ktorý má určiť, za akých podmienok sa môžu verejné aj súkromné organizácie dostať k najvýkonnejším modelom a používať ich pri kybernetickej obrane. Ide o citlivú oblasť, pretože tie isté modely, ktoré vedia pomôcť nájsť zraniteľnosť v kritickej infraštruktúre, môžu pri nesprávnom použití zjednodušiť aj prípravu útoku.

Komisia zároveň počíta so zabezpečenou testovacou platformou, ktorú majú pripraviť ENISA a Spoločné výskumné centrum Komisie. Táto platforma má umožniť testovanie AI riešení v simulovaných prostrediach, teda bez priameho rizika pre reálne systémy. Využiť ju majú najmä organizácie z kritických sektorov, ako sú energetika, doprava, zdravotníctvo, financie a verejná správa. Pre tieto oblasti je dôležité, aby si AI nástroje mohli overiť pred nasadením do produkčných systémov, kde by chyba mohla mať výrazné prevádzkové alebo bezpečnostné následky.

Akčný plán sa venuje aj rýchlejšiemu odhaľovaniu a opravovaniu zraniteľností. Komisia výslovne hovorí, že organizácie by mali využívať dostupné AI kapacity vrátane vhodných open-source modelov na rýchlejšiu identifikáciu slabých miest, prevenciu útokov a reakciu na incidenty. V tejto časti nejde len o veľké technologické firmy. Dopad môžu pocítiť aj prevádzkovatelia základných služieb, nemocnice, finančné inštitúcie, dodávatelia softvéru a verejné úrady, ktoré už dnes riešia povinnosti vyplývajúce z NIS2 alebo iných sektorových pravidiel.

Samostatnú pozornosť dostane open-source softvér. Ten tvorí významnú časť moderných digitálnych služieb, no jeho bezpečnosť často závisí od malých vývojárskych tímov alebo jednotlivcov. ENISA má preto podporovať partnerstvá medzi verejnými orgánmi, firmami a open-source komunitami. Súčasťou má byť aj kampaň zameraná na zabezpečenie kritického open-source softvéru. Pre firmy to môže znamenať väčší tlak na evidenciu používaných knižníc, rýchlejšie záplatovanie a lepšiu kontrolu dodávateľského reťazca.

Komisia chce zároveň podporiť európsky trh s AI riešeniami pre kybernetickú bezpečnosť. Plánuje spustiť EU Grand Challenge on AI for Cybersecurity, teda súťaž pre firmy, výskumníkov a ďalšie organizácie, ktoré budú vyvíjať AI nástroje použiteľné v kybernetickej obrane. Tento krok zapadá do širšej stratégie technologickej suverenity EÚ, ktorá zahŕňa aj AI Factories a budúce Gigafactories. Cieľom je, aby Európa nebola pri bezpečnostne citlivých AI nástrojoch odkázaná výlučne na technológie a infraštruktúru mimo Únie.

Pre bežné firmy z toho zatiaľ nevyplýva nová samostatná povinnosť. Komisia sa však pripravuje na to, že AI sa bude čoraz viac premietať do kybernetickej bezpečnosti, a to na strane obrany aj útoku. Organizácie, ktoré už riešia NIS2, DORA alebo bezpečnosť produktov podľa Aktu EÚ o kybernetickej solidarite, budú musieť počítať s tým, že AI nástroje sa postupne stanú súčasťou auditu rizík, incident response procesov aj riadenia zraniteľností.