text size
OpenAI, Anthropic i Meta su nedavno objavili da su njihovi AI agenti, u kontroliranom test okruženju, samostalno izveli radnje koje bi u tradicionalnom modelu bile klasificirane kao cyber napad, bez direktne ljudske komande i bez prijavljene štete. Cyber osiguravači sada moraju odlučiti prepoznaju li postojeće polise uopće takav događaj, u trenutku kada regija tek počinje graditi osnovnu cyber zaštitu kao proizvod.
Zašto tradicionalna cyber polisa više nije dovoljna
Cyber polise su godinama bile zasnovane na jasnom incidentu: ukradenim pristupnim podacima, vanjskom napadu na server ili ransomwareu koji blokira sistem dok kompanija ne plati otkup. Problem nastaje kada AI agent napravi štetu koristeći upravo one ovlasti koje mu je kompanija legitimno dala. Karthik Ramakrishnan, direktor kompanije Armilla, koja se bavi isključivo osiguranjem AI rizika, teže slučajeve opisuje kao one bez konvencionalnog napadača i bez neovlaštene upotrebe pristupnih podataka.
Analitička kuća Verisk upozorava na drugačiji problem, sistemski rizik: ako veliki broj kompanija koristi isti AI model, greška u tom modelu može odjednom napraviti štetu svima, što bi osiguravači mogli tretirati kao poseban razlog da takav slučaj isključe iz polise.
Dio problema je i to što industrija još nema dovoljno podataka iz prošlosti da tačno odredi cijenu ovog rizika, čak ni programeri AI agenata, kaže istraživač kompanije Rand Sasha Romanosky, još uvijek ne znaju tačno šta njihovi sistemi mogu uraditi. Tržište cyber osiguranja, koje danas vrijedi oko 15 milijardi dolara, prema projekcijama bi do 2030. moglo narasti na 28 milijardi.
AI agenti time ulaze direktno u pitanja korporativnog upravljanja, odgovornosti i kontrole pristupa. Osiguravači će vjerovatno sve više gledati može li kompanija jasno pokazati koje sisteme agent koristi, koje odluke smije donijeti i gdje je obavezna ljudska kontrola. Za Adria regiju taj problem ima dodatni sloj: dok razvijena tržišta pokušavaju prilagoditi postojeće polise novim AI rizicima, dio regije tek gradi osnovnu ponudu cyber osiguranja.
Regija gdje se osnovno cyber osiguranje tek gradi
Dok se globalno raspravlja kako klasificirati štetu koju napravi agent s legitimnim pristupom, u Bosni i Hercegovini se raspravlja može li kompanija uopće kupiti cyber polisu. Kerim Hrustanović, izvršni direktor brokerske kuće ANO Insurance Solutions, objašnjava da lokalno tržište u BiH još uvijek nema razvijenu ponudu ove vrste zaštite, pa je firmama teško da uopće pronađu osiguravača voljnog da preuzme takav rizik.
Srbija, Bosna i Hercegovina, kao i Sjeverna Makedonija nemaju državni zakon koji uslovljava određene sigurnosne mjere protiv cyber rizika za privatne firme. Hrvatska i Slovenija su u drugačijoj poziciji zbog strožeg regulatornog okvira EU. Obaveze koje proizlaze iz direktive NIS2 odnose se na više od tri hiljade kompanija u Hrvatskoj i zahtijevaju ozbiljnije upravljanje cyber rizikom, uz moguće kazne do deset miliona eura. NIS2 ne zahtijeva kupovinu cyber osiguranja, ali veći pritisak na kompanije da mjere i kontroliraju rizik može posredno podstaknuti potražnju za takvim polisama.
Za kompanije u regiji koje uvode AI agente zato se spajaju dva problema. Prvi je nov: agent može napraviti štetu bez klasičnog napadača, koristeći ovlasti koje već ima. Drugi je stariji: tržište cyber osiguranja u dijelu regije još nije dovoljno razvijeno da kompanijama ponudi široku finansijsku zaštitu od takvih događaja.
U SAD-u i Zapadnoj Evropi pitanje je kako postojeće polise prilagoditi AI agentima. U dijelu Adria regije pitanje je šire, postoji li uopće odgovarajuća polisa i šta ona pokriva. Kompanija koja uvodi AI agente zato mora znati ne samo kojim sistemima oni mogu pristupiti, već i ko snosi trošak ako nešto pođe po zlu.
.webp){kind=icon}
