Podcast

Szia! Gellai Róbert vagyok, és ez a Loop havi összefoglalója. Ebben a részben végigmegyünk azon, mi jelent meg a Loop Magazinban szeptemberben, és mit jelent mindez egy magyar cégnek. A hónap cikkeit négy témába szedtem: kiberbiztonság, szabályozás és hatóságok, AI a cégben, végül az AI-ügynökök. Kezdjük!

Az első téma a kiberbiztonság, és szeptemberben a legtöbb baj a távoli belépési kapuknál volt. Szeptember elsején a SonicWall megerősítette, hogy az SMA ezres sorozatú távoli hozzáférési készülékein két, korábban ismeretlen hibát már éles támadásokban kihasználnak. Az NKI szerint ez az idei harmadik ilyen sorozat ugyanezen a platformon. Szeptember huszonhetedikén pedig a Citrix nyolc hibát közölt a NetScaler ADC és Gateway termékekre. Kettőt az amerikai kiberügynökség, a CISA még aznap felvett a már kihasznált hibák listájára. Mindkettővel távolról lehet kódot futtatni a kapun.

A tanulság mindkét esetben ugyanaz: nem a felhasználó jelszava a gyenge pont, hanem maga a kapu, amelyen a home office és a külsősök belépnek. Kérj írásos választ az informatikusodtól vagy az üzemeltető partneredtől: milyen típusú VPN-kapud van, fent van-e a javítás, és a frissítés előtt elmentették-e a naplót. A CISA ugyanis azt kéri, hogy gyanú esetén a bizonyítékot a javítás előtt őrizzék meg, mert a frissítés eltüntetheti a nyomot.

Itthon a Széchenyi Programiroda ügye volt a hónap kibertörténete. Szeptember elsején felkerült a Rhysida zsarolócsoport áldozatlistájára, a csoport húsz bitcoint, közel ötszázmillió forintot kért. A társaság két munkatárs privát iratának kiszivárgását erősítette meg, a többi adat körét nem tudták behatárolni. A nyomozó hatóság már június tizennyolcadikán értesítette őket a támadásról, a szivárgásról viszont csak szeptember másodikán szereztek tudomást. A tanulság: amit a zsaroló kér, az nem a kár. A jegyzőkönyvben legyen két oszlop, az egyikben az, amit a zsaroló állít, a másikban az, amit a saját vizsgálatod megerősített. És előre legyen eldöntve, ki dönt huszonnégy órán belül, név szerint és helyettessel.

Ehhez kapcsolódik, hogy az uniós NIS2-módosítás javaslata egységes zsarolóvírus-jelentést kérne: hogyan jutott be a támadó, volt-e váltságdíj-követelés, és fizettek-e. Ez még javaslat, de egy dolog már most igaz: a fizetésről a vezetésnek kell döntenie, nem az informatikának.

A Revolut esete pedig egy régi szabályt döntött meg. Szeptember tizenkettedikén a cég megerősítette, hogy valaki valódi kormányzati e-mail-címről küldött hamis adatkéréseket, és a cég ezekre ügyféladatot adott ki. A rendszereit nem törték fel, az adatot a munkatársai adták át. Ha nálad az a szabály, hogy elég ellenőrizni a feladó domainjét, ez már nem elég. Hatósági adatkérésnél hívd vissza a hatóságot egy ismert hivatalos csatornán, és legyen egy második jóváhagyó is, mielőtt bármi kimegy.

Végül egy határidő, ami már él. Szeptember tizenegyedike óta a kiberrezilienciáról szóló uniós rendelet, a CRA, kötelező bejelentést kér az aktívan kihasznált sebezhetőségekről, huszonnégy órás korai figyelmeztetéssel. Ha olyan szoftvert vagy eszközt adsz el az unióban, amelyben elavult, már nem támogatott csomag fut, készíts róla listát, és döntsd el, ki felel a bejelentésért.

A második téma a szabályozás és a hatóságok. Augusztus utolsó napján megjelent egy kormányhatározat, amely szeptember harmincadikáig jelentést kért arról, hogyan lehetne megszüntetni a Szabályozott Tevékenységek Felügyeleti Hatóságát, az SZTFH-t. A sajtó a trafikokról és a szerencsejátékról írt, pedig ez a hatóság vezeti a NIS2-nyilvántartást és az ESG-tanácsadók névjegyzékét is. Fontos: a határozat még nem szünteti meg a hatóságot, ehhez kétharmados törvény kell. A kötelezettségeid addig is élnek.

Az első NIS2-auditkör számai: az SZTFH nyilvántartásában kétezer-ötszázhúsz szervezet szerepel, közülük kétezer-százharminckettő teljesítette határidőre az auditot, ez nyolcvannégy egész hat tized százalék. Kétezer-huszonöt tavaszán viszont a szakmai becslés még háromezer és ötezer közötti auditköteles szervezettel számolt, és a hatóság szerint jelentős számú cég még be sem jelentkezett. Ha a céged érintett ágazatban működik, és legalább középvállalat, nézd meg, hogy rajta vagy-e a listán.

A NIS2-ben a következő határidő a vezetői képzés. A kétezer-huszonöt vége előtt kinevezett vezető tisztségviselőknek legalább nyolcórás információbiztonsági alapképzést kell elvégezniük kétezer-huszonhat december harmincegyedikéig, az információbiztonsági felelősnek pedig évente legalább húsz óra jár. A képzők szeptember és november között indítanak, aki novemberben kezd helyet keresni, kifuthat az időből. És ne várj az SZTFH sorsára, a kötelezettség él, amíg a Közlönyben más nem jelenik meg.

Szeptember elsején jelent meg a nagy AI Act-útmutatónk is a kis- és középvállalatoknak. A lényeg: a magas kockázatú AI-rendszerek kötelezettségei kétezer-huszonhét december másodikára csúsztak, az ügyfelek felé nyitott chatbot jelölése viszont nem csúszott. Ha a weboldaladon AI válaszol az ügyfeleknek, ezt jelezni kell.

Szeptember huszonnyolcadikán a Google az Európai Unió Törvényszékéhez fordult két bizottsági határozat ellen, amelyeket a digitális piacokról szóló rendelet, a DMA alapján hoztak. Az egyik tizenegy Android-funkciót nyitna meg a rivális AI-asszisztensek előtt, ezeken ma a Gemini ül mélyen. A másik anonimizált keresési adatot adna a rivális keresőknek. A Google adatvédelmi veszélyre hivatkozik. Az Androidnál az első kemény dátum kétezer-huszonhét augusztus elseje, addig ez inkább figyelendő, mint teendő.

A harmadik téma az AI a cégben, és ezen belül először a számla. Június óta a GitHub és a Microsoft Copilot kreditben számláz, egy kredit egy cent. A licencár maradt, de szeptember elsején lejárt a promóciós keret, és az Enterprise-licenchez tartozó keret hétezer kreditről háromezer-kilencszázra esett, miközben a havi díj továbbra is harminckilenc dollár. Vagyis az AI-számla mostantól attól függ, ki mennyit és milyen modellel használja. A licencet és a kreditet vezesd külön soron, állíts be felhasználónkénti plafont, és kérj havi kreditjelentést.

Augusztus huszonnegyedike óta harmincegy európai piacon, köztük Magyarországon is, hirdetés jelenhet meg a ChatGPT ingyenes és Go csomagjában a válaszok alatt. A Plus, a Pro, a Business és az Enterprise csomag reklámmentes. A gond nem a reklám, hanem az, hogy ha a kollégád ingyenes személyes fiókban dolgozik ügyféladattal, az nem céges, szerződéses környezet.

Hogy ez mennyire általános, azt egy másik cikkünk mutatta meg. Az AI Index Magyarország júniusi felmérése szerint a magyar felnőttek ötven egész négy tized százaléka használt AI-eszközt az elmúlt hónapban. A KSH és az NMHH felmérése szerint viszont a magyar cégeknek csak hét egész négy tized százaléka használ AI-t. A különbség jó része árnyék-AI: a munkatárs használja, a cég nem tud róla, és nem is fizeti.

Mit lehet ezzel kezdeni? Egy számítási példánk szerint nyolc ember személyes ChatGPT Plus előfizetése havi százhatvan dollár, és nyolc Business-hely éves számlázással ugyanennyi. Ugyanazért a pénzért az adat céges munkatérbe kerül. Ha nincs pénz drága adatvédelmi eszközre, négy dolgot akkor is megtehetsz: korlátozd a fájlfeltöltést ismeretlen AI-oldalakra, tarts legalább kilencven napig naplót, írd le egy oldalon, milyen adat nem mehet nyilvános AI-ba, és kerüljön erről egy mondat a belső szabályzatba.

És egy új helyzet a megbeszéléseken: az AI-jegyzetelő. A Granola például a számítógép hangját dolgozza fel, ezért nem lép be külön résztvevőként a Teams-, Meet- vagy Zoom-hívásba. Ettől még a többieknek tudniuk kell róla. A hívás elején mondd ki, hogy AI jegyzetel, és döntsd el, hová kerül az átirat, és ki fér hozzá.

A negyedik téma az AI-ügynökök, vagyis azok a rendszerek, amelyek nemcsak válaszolnak, hanem cselekszenek is. Szeptember huszonnegyedikén az ausztrál miniszterelnök elmondta, hogy egy OpenAI-ügynök június tizennyolcadikán jogosulatlanul bejutott a Medicare statisztikai portáljára. A portál többször nemet mondott, az ügynök kerülőutat talált, és a hatóság szerint fájlokat is írt egy belső szerverre. A kormány szerint nincs bizonyíték arra, hogy egyéni betegadat érintett lett volna, az OpenAI pedig azt közölte, hogy a modell olyan lépéseket tett, amelyeket a cég nem szánt. Ha nálad ügynök dolgozik, előre írd le, mit nem tehet meg, és mi történjen, ha egy oldal nemet mond.

Az ügynökök már fizetni is kezdenek. Szeptember tizedikén a Visa, a Mastercard és az Ant International bejelentette a Know Your Agent nevű közös keretrendszert, hogy azonosítani lehessen, melyik ügynök kinek a nevében vásárol. Szeptember huszonkettedikén pedig a Reuters szerint hat nagy bank, köztük a NatWest, a Bank of America és az ING, közös alapelveket fogalmazott meg, mert szerintük az AI-vásárlás csalási, adatvédelmi és fogyasztóvédelmi kockázatot is hoz. A cégednek ebből egy kérdés jön: ha egy beszerzési ügynök a céges kártyával rendel, van-e hozzá írásos meghatalmazás, összeghatárral?

Végül a Meta szeptember nyolcadikán elindította a Muse nevű személyes asszisztenst, amely telefonálni is tud helyetted. A Reuters szerint a cég egy belső tesztben emberi közreműködőket is bevont bizonyos hívások kezelésébe. Ez nem jelenti azt, hogy minden hívás mögött ember ül, de jól mutatja: ha egy AI képvisel téged, nem mindig tudod, ki lát bele az ügyedbe.

Ennyi volt szeptember. Minden cikket forrásokkal együtt megtalálsz a loopmagazin.hu oldalon. Ha nem akarsz lemaradni, iratkozz fel a hírlevélre, és a lényeg magától megérkezik hozzád. Köszönöm, hogy meghallgattál, jövő hónapban jövök!

Szia! Gellai Róbert vagyok, és ez a Loop heti összefoglalója. Néhány perc alatt végigmegyünk azon, mi jelent meg a Loop Magazinban október nyolcadika és tizenötödike között, és mit jelent mindez egy magyar cégnek. Kezdjük!

Az első téma az AI-ügynökök, vagyis azok a rendszerek, amelyek nemcsak válaszolnak, hanem cselekszenek is. Az Anthropic október kilencedikén jelentést adott ki arról, hogy a Claude-modelljei tesztelés közben valódi weboldalakon is intézkedtek. Űrlapokat küldtek be, megkerültek korlátozásokat, és egyszer kitalált tippet küldtek a philadelphiai rendőrségnek egy megoldatlan gyilkosságról. A tippet szerencsére spamként kiszűrték. A tanulság: a modell nem adja fel. Ha elakad, kerülőutat keres. Ha nálad is kattint és űrlapot tölt ki egy ügynök, pontosan mondd ki, mit nem tehet meg.

Ugyanezen a héten a Google bemutatta új munkahelyi Gemini agentjét, amely feladatot tervez, céges rendszerekhez kapcsolódik, és más agenteknek is kioszthat munkát. A chatbot javasol egy levelet, az agent már el is küldheti. Ezért egy nagyon régi vezetői feladat lesz a legfontosabb: ki milyen jogosultságot kap, és ki nézi meg utólag, mit csinált a rendszer.

Jött egy gyakorlati figyelmeztetés is. Október tizennegyedike és huszonharmadika között leállnak régi AI-modellek az Azure OpenAI-on, a Google Cloudon és az OpenAI API-n, huszonharmadikán például a sima GPT-4 is. A ChatGPT, a Copilot és a Gemini alkalmazás nincs a listán. A céges chatbot viszont szó nélkül leállhat, ha ezeket a modellneveket hívja. Ha ügynökség építette, kérdezd meg még ezen a héten, mert az értesítő levél az ő postafiókjába mehet.

És miből fizetnek a cégek az AI-ért? Az Európai Központi Bank SAFE-felmérése szerint az euróövezetben az AI-beruházást tervező cégek hetvenkét százaléka saját forrásból fizetne, bankhitelt csak tizenhat százalékuk jelölt meg. Magyarország nincs a mintában, de a tanulság itt is érvényes: a képzést saját pénzből érdemes betervezni, hitelt inkább a megfogható eszközre kérni.

Két tényellenőrző cikkünk is volt. Az egyik azt nézte meg, tényleg napi munkaeszköz-e az AI a vezető hazai ügyvédi irodákban. Négy gyakran emlegetett irodából kettőnél, a Jalsovszkynál és a Szecskaynál találtunk nyilvános forrást konkrét eszközre, a másik kettőnél nem. A fő fék ma inkább a titoktartás, a hiányzó kamarai útmutatás és az akadozó állami digitalizáció, nem maga a technológia.

A másik egy TikTokon terjedő állítást vizsgált: az AI korában a seniorok nyernek, a juniorok veszítenek. Az amerikai adatok ezt alátámasztják, de a videó több konkrét száma pontatlan. Itthon is kevés a junior hirdetés: a No Fluff Jobs elemzésében a hirdetéseknek csak öt egész három tized százaléka volt junior szintű. Hogy ebben mekkora az AI szerepe, azt hazai kutatás nem méri. Cégvezetőként érdemes végiggondolni, honnan lesznek a mediorjaid két-három év múlva, ha most kevesebb kezdőt veszel fel.

Jog és adat. Dánia október nyolcadikán törvényjavaslatot terjesztett elő, amely védené az emberek arcát és hangját az engedély nélküli, valósághű digitális utánzatokkal szemben, kivétellel például a paródiára és a szatírára. Ha a céged AI-hanggal vagy avatárral dolgozik, a hozzájárulás kerüljön szerződésbe: mire, meddig és milyen nyelven használható.

Szintén október nyolcadikán a USA Today kiadója és több lapja perelte be az OpenAI-t, több mint kétszázötven millió dolláros kártérítést követelve, mert szerintük engedély nélkül tanították a modelleket a cikkeiken. Ítélet még nincs, és Európában nem az amerikai fair use doktrína dönt.

A harmadik adatos történet: a Google tízmillió dollárért szerezné meg a megszűnt Spirit Airlines egyes belső adatait, AI-fejlesztéshez. Több mint százhúsz amerikai törvényhozó a munkavállalói információk védelme miatt aggódik. A kérdés minden cégnek szól: egy belső levelezésben személyes adat, ügyfélpanasz és üzleti titok keveredik, és ettől még nem szabadon eladható, hogy a céged szerverén keletkezett.

Kiberbiztonság. Az FBI hét domaint foglalt le, amelyek két, kritikus infrastruktúrák feltérképezésére használt eszközhöz kapcsolódtak. A támadás gyakran csendes felderítéssel kezdődik. Készíts listát a domainjeidről, az aldomainjeidről és a kívülről elérhető szolgáltatásaidról, és mindegyiknek legyen felelőse.

Franciaországban október tizenegyedikéről tizenkettedikére virradó éjjel ismeretlen támadók több száz szupermarketben fűtötték fel távolról a hűtőket és a fagyasztókat. A riasztás a Danfoss hűtésvezérlőire vonatkozik, és az érintett egységek többsége régi volt, vagy elavult szoftver futott rajta. Ha nálad hűtést, klímát vagy gépet külső szerviz kezel távolról, kérj tőle írásos választ még a héten: elérhető-e a kezelőfelület az internetről, kap-e még biztonsági frissítést, és mikor frissítették utoljára.

Végül fenntarthatóság, három fontos határidővel. A CBAM-ban kétezer-huszonhat az első év, amelynek importja után fizetni kell. Aki egy évben ötven tonnánál kevesebb vasat, acélt, alumíniumot, cementet vagy műtrágyát hoz be az unión kívülről, mentesül. Aki nem tudja biztosan, hogy a határ alatt marad, annak a hatóság az engedélykérelem beadását javasolja.

Az erdőirtásmentes termékekről szóló uniós rendelet, az EUDR, december harmincadikán indul a nagy- és középvállalatoknak és a kereskedőknek. A kétezer-huszonnégy végéig alapított mikro- és kisvállalkozások kétezer-huszonhét június harmincadikáig várhatnak, kivéve, ha fával vagy fatermékkel dolgoznak.

A harmadik hír a beszállítóknak jó. A kétezer-huszonhétben kezdődő üzleti évtől a nagyvállalat a legfeljebb ezerfős beszállítójától csak egy zárt listán szereplő adatokat kérhet a fenntarthatósági jelentéséhez. Mikro- és kisvállalkozástól pedig a magyar ESG-törvény szerint kétezer-huszonhét június harmincadikáig egyáltalán nem kérhető ESG-adat.

Ennyi volt ez a hét. Minden cikket forrásokkal együtt megtalálsz a loopmagazin.hu oldalon. Ha nem akarsz lemaradni, iratkozz fel a hírlevélre, és a lényeg magától megérkezik hozzád. Köszönöm, hogy meghallgattál, jövő héten jövök!