ECB varoval banky před novými kybernetickými hrozbami s využitím AI
Evropská centrální banka vydala varování pro všechny banky, aby se připravily na kybernetické útoky řízené umělou inteligencí, včetně pokročilých modelů. Regulátor také zaznamenal známky stagflace v ekonomice regionu.
Kybernetický štít s dírou: Jak závody ve zbrojení AI maskují hlavní zranitelnost evropských bank
Podstata: co se skutečně děje
Na první pohled ECB vydala standardní varování: připravte se na kybernetické útoky s využitím pokročilé AI. Člen výkonné rady Frank Elderson jmenoval konkrétní model – Mythos od Anthropic – a vyzval banky, aby jednaly okamžitě, aniž by čekaly na přístup k němu.
Ale pokud čteme mezi řádky, skutečné poselství je mnohem tvrdší. ECB signalizuje strukturální selhání v architektuře evropské kybernetické bezpečnosti: evropské banky jsou odříznuty od klíčového obranného nástroje, který již používají jejich američtí konkurenti. Zatímco JPMorgan a další účastníci Project Glasswing klidně skenují své systémy pomocí Mythos a opravují desítky zranitelností, evropské banky musí hádat, jaké díry v jejich infrastruktuře by tento model mohl najít. Není to ani tak varování před budoucí hrozbou, jako spíše konstatování již existující asymetrie.
Zároveň regulátor fakticky přiznává, že stagflační rizika omezují jeho schopnost podporovat banky monetárními nástroji. Inflace v dubnu 2026 vyskočila na 3,0 % – skok z 2,6 % v březnu – na pozadí blízkovýchodního konfliktu, který zvýšil ceny energií. Ekonomický růst eurozóny v prvním čtvrtletí činil pouze 0,1 %. Pokud začne rozsáhlý kybernetický útok na velkou evropskou banku v okamžiku, kdy je ECB nucena udržovat vysoké sazby pro boj s inflací, klasický stabilizační nástrojový arzenál bude nedostupný. Nelze současně hasit požár likvidity a bojovat s růstem cen.
Chronologie a kontext
Historie tohoto varování nezačala v květnu 2026. Již v lednu 2026 dozorčí jednotka ECB stanovila priority na roky 2026-2028, kde druhým klíčovým bodem po geopolitických rizicích bylo posílení operační odolnosti bank, včetně řízení rizik spojených s umělou inteligencí.
Poté, v dubnu 2026, nový šéf Evropského orgánu pro bankovnictví (EBA) François-Louis Michaud přímo označil kybernetické hrozby s využitím AI za „ústřední a klíčovou“ prioritu dozorčího orgánu. V té době již americké úřady uskutečnily mimořádná setkání s vedením bank k projednání rizik spojených s Mythos. Evropští regulátoři to pozorovali z povzdálí, aniž by měli možnost hrozbu konkrétně posoudit.
Do května 2026 napětí dosáhlo vrcholu. Britský Institut bezpečnosti AI, který získal předčasný přístup k Mythos Preview, potvrdil: nová verze modelu vykazuje „působivý skok ve výkonu“ v kybernetických schopnostech. OpenAI v reakci oznámila poskytnutí přístupu k GPT-5.5-Cyber pro Evropskou komisi a jednotlivé společnosti, včetně španělského BBVA. Francouzský Mistral zahájil tajná jednání s velkými evropskými bankami o vytvoření lokálního konkurenta Mythos. A právě v tomto okamžiku – 12. května 2026 – Elderson zveřejňuje své prohlášení, které je formou bulletinu, ale ve skutečnosti ultimátem.
Samostatný varovný signál zazněl 30. dubna: Rada guvernérů ECB ponechala sazby beze změny navzdory rostoucím rizikům pro růst, protože inflační tlaky zesílily. Regulátor se ocitl v klasické stagflační pasti.
Kdo vyhrává a kdo prohrává
Vyhrávají v současnosti tři skupiny.
První – americké banky, které získaly předčasný přístup k Mythos prostřednictvím Project Glasswing. Nejenže nástroj testují – již odstranily desítky zranitelností, o jejichž existenci jejich konkurenti v Evropě ani netuší. Vzniká mimořádná situace: samotný fakt vlastnictví obranného AI nástroje se stal konkurenční výhodou. Banka, která prošla skenováním Mythos, je objektivně bezpečnější než banka, která takovým skenováním neprošla. Velcí korporátní klienti, vybírající si banku pro obsluhu, dříve či později začnou tento faktor zohledňovat.
Druhou skupinou jsou společnosti v oblasti kybernetické bezpečnosti. Varování ECB je v podstatě bezplatná reklama jejich služeb. Objem objednávek na bezpečnostní audity, penetrační testy a monitorovací systémy ze strany evropských bank v následujících měsících nevyhnutelně vzroste. Při konzervativním odhadu trhu lze očekávat dodatečný příliv 500–800 milionů eur do tohoto sektoru do konce roku.
Třetí skupinou je samotný Anthropic. Tlak na evropské úřady, aby poskytly přístup k Mythos, pracuje ve prospěch společnosti: jednání s EU již probíhají a ministr hospodářství Valdis Dombrovskis potvrdil kontakty s vývojářem. Paradoxně varování ECB posiluje vyjednávací pozici Anthropic.
Prohrávají – evropské banky druhého a třetího sledu. Velcí hráči jako BBVA již získali přístup k GPT-5.5-Cyber od OpenAI a jednají s Mistral. Ale regionální banky s aktivy 50–150 miliard eur nemají ani přístup k pokročilým AI nástrojům, ani zdroje pro vlastní vývoj. Ocitají se v zóně maximálního rizika – právě jejich infrastruktura se stane testovacím polem pro první vlnu AI-zesílených útoků.
Prohrává i samotný evropský regulatorní projekt. ECB a EBA léta budovaly dozorčí systém založený na standardizovaných požadavcích na kapitál a zátěžových testech. Nyní se ukazuje, že technologická propast mezi bankami, které mají přístup k pokročilým AI bezpečnostním nástrojům a které jej nemají, vytváří nový, neregulovaný kanál systémového rizika.
Co média neříkají
Klíčový moment, který je v veřejných diskusích zcela opomíjen: přístup k Mythos nezískaly jen „americké banky“. Získaly jej společnosti zapojené do iniciativy Project Glasswing, mezi nimiž jsou Amazon Web Services, Microsoft, Nvidia a Linux Foundation. Všimněte si tohoto seznamu: nejsou to jen banky, je to základní infrastruktura, na které pracují evropské finanční organizace.
JPMorgan po proskenování svých systémů pomocí Mythos odstranil zranitelnosti. Ale evropská banka, jejíž kritické aplikace jsou umístěny v AWS, nemůže ověřit, zda byly zranitelnosti odstraněny na úrovni samotného cloudového poskytovatele. Vzniká slepá skvrna: infrastrukturní vrstva je chráněna nástrojem, ke kterému koncový uživatel nemá přístup, a uživatel je nucen spoléhat na ujištění poskytovatele.
Druhý podceňovaný faktor – vliv na trh zajištění kybernetických rizik. Evropské banky aktivně pojišťují operační rizika, včetně kybernetických hrozeb. Pojišťovny při hodnocení rizik používají aktuárské modely založené na historických datech. Ale AI-zesílené útoky jsou událostí s principiálně odlišným profilem: jsou rychlejší, rozsáhlejší a mohou zneužívat zranitelnosti, o jejichž existenci neví ani sám vývojář softwaru. To znamená, že stávající modely upisování systematicky podceňují rizika. Pokud dojde k velkému incidentu, pojišťovny mohou čelit kumulativním ztrátám, které zpochybní jejich vlastní platební schopnost – a to už je kaskádový efekt na finanční stabilitu.
Třetí moment – geopolitický podtext. Fráze Arthura Mensche, CEO Mistral, na slyšení ve francouzském parlamentu byla naprosto otevřená: „Nelze skenovat zdrojový kód francouzských vojenských systémů pomocí Mythos.“ Ale pokud vojenské systémy nemohou být prověřeny americkým nástrojem, zatímco bankovní systémy těchto zemí kriticky závisí na stejné infrastruktuře – kde je záruka, že zranitelnosti nalezené Mythos ve finančním sektoru nejsou stejnými zranitelnostmi, které existují v obranných systémech? Otázka, kdo přesně má přístup k výsledkům skenování evropské kritické infrastruktury, zůstává bez odpovědi.
Prognóza: následujících 30 a 90 dní
V následujících 30 dnech lze očekávat tři konkrétní události.
První: ECB provede mimořádné zátěžové testy kybernetické odolnosti pro systémově významné banky eurozóny. Na rozdíl od tradičních scénářů budou tyto testy modelovat útok s využitím AI nástrojů úrovně Mythos – i když samotné banky takový nástroj nemají. Výsledky budou bolestivé.
Druhé: nejméně jedna velká evropská banka oznámí partnerství s Mistral pro vytvoření ochranného AI řešení. Vzhledem k tomu, že jednání již probíhají, je oznámení pravděpodobné během 3–4 týdnů. Rozpočet takového projektu se odhaduje na 100–200 milionů eur.
Třetí: evropští pojistitelé začnou přezkoumávat podmínky pojistek kybernetického pojištění pro banky a zavádět výjimky pro ztráty způsobené AI-zesílenými útoky. To vyvolá řetězovou reakci: banky budou nuceny zvyšovat rezervy na operační rizika, což dále sníží dostupný kapitál.
V horizontu 90 dní bude klíčovým faktorem průnik dvou krizí: kybernetických hrozeb a stagflace. Inflace 3,0 % a růst HDP 0,1 % již tvoří klasický stagflační obraz. ECB potvrdila, že rizika pro růst jsou posunuta negativním směrem a pro inflaci pozitivním. Pokud v této situaci dojde ke kybernetickému incidentu ovlivňujícímu platební infrastrukturu, regulátor nebude mít dobré možnosti: snížení sazby pro podporu likvidity urychlí inflaci, zatímco udržení sazeb prohloubí škody pro postiženou banku.
Nejpravděpodobnější scénář: do konce srpna 2026 nejméně jedna evropská banka zveřejní informaci o vážném kybernetickém útoku s využitím AI nástrojů. Reakce trhu bude rychlá a tvrdá: akcie postižené banky klesnou o 15–25 % během jedné seance, CDS spready evropských bank se rozšíří o 50–80 bazických bodů. Celková škoda z takového incidentu, včetně přímých ztrát, regulatorních pokut a reputačních nákladů, může dosáhnout 2–3 miliard eur.
Jediný způsob, jak se tomuto scénáři vyhnout, je urychlené poskytnutí přístupu evropským bankám k pokročilým ochranným AI nástrojům, ať už prostřednictvím dohod s Anthropic, rozvojem lokálních řešení Mistral nebo jinými kanály. Ale i v tomto případě se mezera mezi útočníky a obránci zmenší nejdříve v polovině roku 2027. A do té doby budou evropské banky hrát na honěnou s protivníkem, který se pohybuje rychleji.
— Editorial Team
