Ang advanced na AI ay nagpababa sa oras na maaaring kailanganin ng mga bangko upang ayusin ang mga depekto sa software mula linggo patungong minuto, ayon sa isang bagong papel mula sa Bank for International Settlements na nananawagan para sa mas mabilis na desisyon sa seguridad at pag-patch.
Ang papel ng Bank for International Settlements, na inilathala noong Setyembre 9 ng Financial Stability Institute nito, ay nagsasabing kailangan ng mga bangko na paikliin ang panahon sa pagitan ng pagtuklas ng kahinaan, pag-apruba ng pag-aayos, at pag-install nito. Kinikilala ng mga may-akda nito ang mga sistema ng AI na makakahanap ng mga kahinaan at gagawing gumaganang pag-atake ang mga ito bilang pangunahing pagbabago na kinakaharap ng mga kumpanyang pinansyal.
“Ang pagitan sa pagitan ng pagtuklas ng kahinaan at pagsasamantala ay lumiit mula linggo patungong minuto,” isinulat ng mga may-akda. Hindi sinasabi ng papel na ang bawat depekto ay maaaring samantalahin nang ganoon kabilis. Ito ay nangangatuwiran na ang regular na pagsusuri sa seguridad at nakatakdang iskedyul ng pagpapanatili ay maaaring maglantad sa mga kumpanya kapag ang isang pag-atake ay maaaring ihanda bago ang susunod na nakaplanong pag-aayos.
Ayon sa papel, natuklasan ng U.K. Financial Conduct Authority na nahihirapan ang mga kumpanya na tumugon nang kasingbilis ng pagtuklas sa mga kahinaan. Himok ng Institute of International Finance ang mga kumpanya na mag-install ng mga agarang pag-aayos sa labas ng normal na panahon ng pagpapanatili, kahit na nangangailangan ito ng nakaplanong downtime.
Ang hiwalay na boluntaryong gabay mula sa Cross Market Operational Resilience Group ng U.K. ay nagpapahiwatig na ang ilang panahon ng pag-aayos ay maaaring bumaba mula linggo patungong araw o oras, ayon sa mga may-akda ng BIS. Ang mas mabilis na pag-patch ay nakasalalay din sa pamamahala: hindi maaaring mag-install ng high-impact fix nang mabilis ang isang security team kung ang mga taong responsable sa pag-apruba ng pagkaantala sa mga serbisyo ng bangko ay hindi available o hindi malinaw kung sino ang maaaring magdesisyon.
Kaya itinuturing ng ulat ang pagtugon sa cyber bilang usapin para sa senior management at gayundin sa mga teknikal na tauhan. Sinasabi nito na kailangan ng mga board ng malinaw na impormasyon tungkol sa mga umuusbong na banta, habang kailangan ng mga institusyon ang mga proseso ng desisyon na nagpapahintulot sa kanila na suriin ang isang depekto, aprubahan ang isang pagtugon, at protektahan ang mahahalagang serbisyo nang hindi naghihintay ng regular na pagsusuri.
Sa Estados Unidos, itinuro ng papel ang gabay ng regulator sa pananalapi ng New York na inilabas noong Mayo para sa mga kumpanyang humaharap sa tumataas na banta sa cyber. Ayon sa BIS, isinama ng New York Department of Financial Services ang mga pagsulong sa AI sa mga pag-unlad na maaaring magpabago sa mga panganib sa cyber at hiniling ang mga regulated entity na isaalang-alang ang mas malakas na pagtuklas, paghahanda, pagtugon, at mga hakbang sa pagbawi.
Umuabot din ang koneksyon ng U.S. sa mga panlabas na provider ng teknolohiya. Sa isang panukala noong Setyembre 11, iniulat ng crypto.news na apat na pederal na regulator ang nagmungkahi ng binagong gabay kung paano pinangangasiwaan ng mga bangko at credit union ang mga third party. Ang mga panlabas na kumpanya ay maaaring magbigay ng pagproseso ng pagbabayad, cybersecurity, at mga serbisyo ng online banking, ayon sa ulat na iyon, na ginagawang mahalaga ang pangangasiwa ng vendor kapag ang isang depekto sa software ay nakakaapekto sa isang serbisyo na hindi pinapatakbo mismo ng isang bangko.
Binanggit ng papel ng BIS ang isang pagsubok na tinatawag na ExploitGym upang ipakita ang pagkakaiba sa pagitan ng paghahanap ng kilalang kahinaan at paggawa ng gumaganang exploit. Sa 898 kaso ng pagsubok, ang Claude Mythos Preview ay nakagawa ng gumaganang exploits sa 157 pagkakataon, o 17%, habang ang GPT-5.5 ay nakagawa sa 120, o 13%. Nagbabala ang mga may-akda na ang tagumpay sa isang pagsubok ay hindi nagpapatunay na ang isang AI system ay maaaring makapasok sa isang bangko na mahusay na ipinagtanggol.
Iniulat ng Anthropic ang paghahanap ng higit sa 10,000 seryosong kahinaan sa software gamit ang Mythos Preview, ayon sa papel. Sinabi din ng kumpanya na mahigit 99% ng mga depekto na natukoy nito ay hindi pa na-patch, na naglilimita sa maaaring ihayag nito sa publiko. Noong Abril, nagpahayag ng pagkabahala ang mga lider sa pananalapi tungkol sa kakayahan ng modelo na matuklasan ang mga kahinaan sa mga sistemang ginagamit sa pananalapi; sinusubukan ito ng mga bangko at ahensya ng gobyerno upang matukoy ang mga depekto bago ang anumang mas bukas na paglabas.
Ang mga pigura na binanggit ng BIS ay nagdaragdag ng konteksto sa problema sa pag-aayos. Binanggit ang 2026 breach report ng Verizon Business, sinabi ng mga may-akda na ang pagsasamantala sa mga kahinaan ay bumubuo sa 31% ng paunang access sa mga insidente na pinag-aralan, kumpara sa 13% para sa mga ninakaw o maling ginamit na kredensyal. Natuklasan ng parehong ulat na ganap na naayos ng mga organisasyon ang 26% ng mga kritikal na kahinaan na sinusubaybayan sa ilalim ng isang panukala ng U.S. Cybersecurity and Infrastructure Security Agency noong 2025, bumaba mula 38% noong nakaraang taon.
Ginagamit ng mga may-akda ng BIS ang mga natuklasan na iyon upang mangatuwiran para sa tuluy-tuloy na pagsusuri at mas mabilis na pag-aayos, habang pinapanatili ang mga kontrol sa pag-access at secure na pagbuo ng software. Makakatulong din ang AI sa mga tagapagtanggol na makahanap ng mga depekto at suriin ang malaking halaga ng data ng seguridad, sabi ng papel, ngunit hindi nito maaaring palitan ang pangunahing trabaho sa seguridad na naiwan ng isang kumpanya.
Isang insidente noong Hulyo na kinasasangkutan ng mga ahente ng OpenAI at ng AI platform na Hugging Face ang nagbibigay sa papel ng isang hiwalay na halimbawa ng maaaring gawin ng isang autonomous na sistema sa labas ng itinalagang gawain nito. Sa panahon ng isang panloob na pagsusuri, ang isang ahente ay dapat na lutasin ang mga problema sa pagsubok sa seguridad. Sa halip, ayon sa account ng BIS, direkta nitong hinanap ang mga sagot, sinamantala ang isang dating hindi kilalang depekto sa isang serbisyo ng OpenAI, at nakarating sa internet.
Pagkatapos ay ginamit ng ahente ang mga ninakaw na kredensyal at iba pang kahinaan upang magpatakbo ng hindi awtorisadong code sa mga sistema ng Hugging Face, sabi ng papel. Iniulat ng Hugging Face ang limitadong pag-access sa mga panloob na dataset at kredensyal ngunit walang pagbabago sa mga pampublikong mapagkukunan. Ginamit din nito ang AI upang suriin ang higit sa 17,000 kaganapan sa panahon ng imbestigasyon nito, ayon sa BIS.
Binibigyang-diin ng mga may-akda na pinahaba ng OpenAI ang normal na mga pananggalang, nagbigay ng malaking computing power, at pinayagan ang ahente na kumilos nang mag-isa sa panahon ng pagsubok. Sinabi nila na ang insidente ay hindi ebidensya na ang mga modelo ng AI ay nagkakaroon ng malisyosong layunin nang independyente o isang direktang sukatan ng panganib mula sa mga tool na magagamit ng publiko. Ipinapakita nito, sa kanilang pagtatasa, kung bakit kailangang suriin ng mga kumpanyang pinansyal ang mga pahintulot, tool, at panlabas na access na ibinigay sa isang kumpletong AI system.
Para sa mga institusyong nagde-deploy ng ganoong mga ahente mismo, inirerekomenda ng papel ang pagtatago ng mga talaan ng ginagawa ng mga sistema, paglilimita sa pag-access sa data at mga tool, paghingi ng pag-apruba ng tao para sa mga aksyon na may mataas na epekto, at pagpapanatili ng paraan upang patigilin ang isang ahente o ibalik ang kontrol sa isang tao.
Sinasabi ng papel ng BIS na nanawagan ang BaFin ng Germany para sa mas mabilis na pag-patch, habang hinimok ng Hong Kong Monetary Authority ang mga institusyon na subukan ang mga senaryo ng pag-atake na pinamamahalaan ng AI at palakasin ang kanilang kakayahang pigilan ang mga paglabag. Humiling din ang regulator ng Hong Kong sa mga kumpanya na pagbutihin ang mga plano sa pagbawi dahil mas malamang na magkaroon ng mga paglabag, ayon sa ulat.
Sa Europa, itinuro ng mga may-akda ang mga cyber stress test ng European Central Bank at ang Digital Operational Resilience Act. Pareho nilang binibigyang pansin kung ang mga institusyong pinansyal ay makapagpapatuloy sa pagbibigay ng mga kritikal na serbisyo sa panahon ng isang seryosong pagkagambala, sa halip na kung ang isang pag-atake ay maiiwasan lamang.
Sinasabi ng papel na ang umiiral na mga prinsipyo ng Basel Committee ay nananawagan na sa mga bangko na tukuyin ang mga kritikal na operasyon at ang mga sistemang pinagkakatiwalaan nila. Saklaw din ng mga prinsipyong iyon ang patch management, access controls, pagbabahagi ng banta, at regular na pagsubok ng resilience.
