Le minacce cyber hanno trovato un prezioso alleato nell’intelligenza artificiale: quello che una volta richiedeva mesi di ricerca manuale, adesso può accadere in meno di 24 ore ed essere realizzato, una volta individuata una debolezza, in soli 15 minuti.

Considerando che, dal momento in cui una vulnerabilità viene scoperta a quando viene corretta passano in media 40 giorni, il tempo è diventata la variabile più critica della cybersicurezza.

Da queste premesse si muove il report “Machine-Speed Cyber Risk” di Deloitte, dedicato alla sfida senza precedente che il settore finanziario europeo si trova di fronte – un settore che vede ancora la diffusione di componenti e dipendenze open-source, spesso condivise tra decine di istituzioni finanziarie e responsabili di circa il 60% delle vulnerabilità.

Il report di Deloitte mostra come i tradizionali cicli di patching e remediation richiedono in media 45-90 giorni, mentre gli attacchi moderni possono svilupparsi in 48-72 ore.

Per colmare questo divario le organizzazioni devono fare un salto qualitativo, passando da cicli di aggiornamento periodici a capacità continue di identificazione, prioritizzando e mitigando le vulnerabilità.

Questo è possibile solo con un’automazione intelligente basata sull’AI, che identifichi e prioritizzi le minacce in tempo reale, e una governance robusta per controllare come questa possa supportare le decisioni critiche di sicurezza.

“La stessa capacità che amplifica il rischio può anche rafforzare la difesa”, commenta Diego Giordano, Cyber Strategy Director della società di consulenza.

“Se le istituzioni finanziarie utilizzano oggi gli strumenti di AI per identificare e correggere le proprie debolezze, possono acquisire un vantaggio temporale prima che queste capacità diventino ampiamente disponibili agli attaccanti.

Il Digital Operational Resilience Act (Dora) dell’Unione Europea è concepito proprio per affrontare questa sfida, ma diventa ancora più rilevante in uno scenario dove le debolezze vengono scoperte e sfruttate in ore, non in settimane.”

Si inserisce in questo discorso Claude Fable 5 di Anthropic, una versione commerciale e controllata della stessa famiglia di modelli di Claude Mythos che, però, integra meccanismi di sicurezza progettati per limitare l’esecuzione di richieste ad alto rischio nel dominio della cybersecurity.

Fino a pochi giorni fa, iniziative come Project Glasswing (che avrebbe dovuto estendere l’accesso a questa AI a circa 150 nuove organizzazioni in oltre 15 Paesi, inclusa Enisa, l’Agenzia dell’Unione Europea per la Cybersecurity) e l’introduzione di modelli controllati come Fable 5 lasciavano intravedere la possibilità di ridurre progressivamente il divario di accesso alle capacità di AI di frontiera tra Stati Uniti ed Europa.

Il panorama ha tuttavia subito una brusca inversione di rotta.

Venerdì il governo degli Stati Uniti ha ordinato ad Anthropic di sospendere immediatamente l’accesso a Fable 5 e Mythos 5 per tutti i cittadini e le organizzazioni straniere, invocando ragioni di sicurezza nazionale attraverso lo strumento dei controlli all’esportazione.

Non potendo filtrare la propria utenza per nazionalità, Anthropic ha disabilitato entrambi i modelli a livello globale.

Di conseguenza, Project Glasswing si trova ora in una condizione di blocco indefinito e le istituzioni finanziarie europee non hanno accesso ai modelli di frontiera di Anthropic.

La diretta conseguenza è che il differenziale di capacità tra Stati Uniti ed Europa rischia oggi di ampliarsi ulteriormente.