बैंक फॉर इंटरनेशनल सेटलमेंट्स (बीआईएस) के एक नए पेपर के अनुसार, उन्नत एआई ने बैंकों को सॉफ्टवेयर की खामियों को ठीक करने के लिए मिलने वाले समय को हफ्तों से घटाकर मिनटों में कर दिया है, जो तेज सुरक्षा निर्णयों और पैचिंग का आह्वान करता है।
बैंक फॉर इंटरनेशनल सेटलमेंट्स का पेपर, जिसे इसके फाइनेंशियल स्टेबिलिटी इंस्टीट्यूट द्वारा 9 सितंबर को प्रकाशित किया गया, कहता है कि बैंकों को किसी कमजोरी का पता लगने, एक फिक्स को मंजूरी देने और उसे स्थापित करने के बीच के समय को कम करने की जरूरत है। इसके लेखक एआई प्रणालियों को, जो कमजोरियों का पता लगा सकती हैं और उन्हें सफल हमलों में बदल सकती हैं, वित्तीय फर्मों के सामने मुख्य बदलाव के रूप में पहचानते हैं।
“कमजोरी की खोज और उसके शोषण के बीच की अवधि हफ्तों से घटकर मिनटों में आ गई है,” लेखकों ने लिखा। पेपर यह नहीं कहता कि हर खामी का इतनी जल्दी फायदा उठाया जा सकता है। यह तर्क देता है कि नियमित सुरक्षा समीक्षा और निश्चित रखरखाव कार्यक्रम फर्मों को तब असुरक्षित छोड़ सकते हैं जब अगला नियोजित मरम्मत से पहले हमला तैयार किया जा सकता है।
पेपर के अनुसार, यू.के. फाइनेंशियल कंडक्ट अथॉरिटी ने पाया है कि फर्मों को कमजोरियों के पता लगने की गति से प्रतिक्रिया देने में कठिनाई हो रही है। इंस्टीट्यूट ऑफ इंटरनेशनल फाइनेंस ने फर्मों से सामान्य रखरखाव अवधि के बाहर तत्काल फिक्स स्थापित करने का आग्रह किया है, भले ही ऐसा करने के लिए नियोजित डाउनटाइम की आवश्यकता हो।
यू.के. के क्रॉस मार्केट ऑपरेशनल रेजिलिएंस ग्रुप के अलग स्वैच्छिक दिशानिर्देशों में अनुमान लगाया गया है कि कुछ मरम्मत अवधि हफ्तों से घटकर दिनों या घंटों में हो सकती है, बीआईएस लेखकों ने कहा। तेज़ पैचिंग प्रबंधन पर भी निर्भर करती है: एक सुरक्षा टीम उच्च-प्रभाव वाले फिक्स को तुरंत स्थापित नहीं कर सकती है यदि बैंकिंग सेवाओं में रुकावट को मंजूरी देने वाले लोग अनुपलब्ध हों या यह स्पष्ट न हो कि कौन निर्णय ले सकता है।
इसलिए रिपोर्ट साइबर प्रतिक्रिया को वरिष्ठ प्रबंधन के साथ-साथ तकनीकी कर्मचारियों के लिए भी एक महत्वपूर्ण मामला मानती है। इसमें कहा गया है कि बोर्डों को उभरते खतरों के बारे में स्पष्ट जानकारी की आवश्यकता है, जबकि संस्थानों को निर्णय प्रक्रियाओं की आवश्यकता है जो उन्हें किसी खामी का आकलन करने, प्रतिक्रिया को मंजूरी देने और नियमित समीक्षा की प्रतीक्षा किए बिना आवश्यक सेवाओं की सुरक्षा करने दें।
संयुक्त राज्य अमेरिका में, यह पेपर न्यूयॉर्क वित्तीय नियामक मार्गदर्शन की ओर इशारा करता है, जिसे मई में उन फर्मों के लिए जारी किया गया था जो एक बढ़े हुए साइबर खतरे के माहौल का सामना कर रही हैं। बीआईएस के अनुसार, न्यूयॉर्क डिपार्टमेंट ऑफ फाइनेंशियल सर्विसेज ने एआई में प्रगति को उन विकासों में शामिल किया जो साइबर जोखिमों को बदल सकते हैं और विनियमित संस्थाओं से मजबूत पहचान, तैयारी, प्रतिक्रिया और रिकवरी उपायों पर विचार करने के लिए कहा।
अमेरिकी संबंध बाहरी प्रौद्योगिकी प्रदाताओं तक भी फैला हुआ है। 11 सितंबर के एक प्रस्ताव में, क्रिप्टो.न्यूज़ ने रिपोर्ट किया कि चार संघीय नियामकों ने बैंकों और क्रेडिट यूनियनों द्वारा तीसरे पक्षों की निगरानी कैसे की जाए, इस पर संशोधित मार्गदर्शन प्रस्तावित किया। उस रिपोर्ट के अनुसार, बाहरी फर्में भुगतान प्रसंस्करण, साइबर सुरक्षा और ऑनलाइन बैंकिंग सेवाएं प्रदान कर सकती हैं, जिससे विक्रेता की निगरानी तब प्रासंगिक हो जाती है जब एक सॉफ्टवेयर दोष एक ऐसी सेवा को प्रभावित करता है जिसे बैंक स्वयं नहीं चलाता है।
बीआईएस पेपर एक्सप्लॉइटजिम नामक एक परीक्षण का हवाला देता है ताकि ज्ञात भेद्यता खोजने और एक कार्यशील एक्सप्लॉइट बनाने के बीच का अंतर दिखाया जा सके। 898 परीक्षण मामलों में से, क्लाउड मिथोस प्रीव्यू ने 157 उदाहरणों, या 17% में कार्यशील एक्सप्लॉइट उत्पन्न किए, जबकि जीपीटी-5.5 ने 120, या 13% में ऐसा किया। लेखक चेतावनी देते हैं कि परीक्षण में सफलता यह साबित नहीं करती कि एक एआई प्रणाली एक अच्छी तरह से सुरक्षित बैंक में सेंध लगा सकती है।
पेपर के अनुसार, एंथ्रोपिक ने मिथोस प्रीव्यू के साथ 10,000 से अधिक गंभीर सॉफ्टवेयर कमजोरियों का पता लगाने की सूचना दी है। कंपनी ने यह भी कहा कि उसने जिन खामियों की पहचान की थी उनमें से 99% से अधिक को अभी तक पैच नहीं किया गया था, जिससे वह सार्वजनिक रूप से क्या खुलासा कर सकती है, वह सीमित हो गया। अप्रैल में, वित्तीय नेताओं ने वित्त में उपयोग की जाने वाली प्रणालियों में कमजोरियों को उजागर करने के मॉडल की क्षमता के बारे में चिंता जताई; बैंक और सरकारी एजेंसियां किसी भी अधिक खुले रिलीज से पहले खामियों की पहचान करने के लिए इसका परीक्षण कर रही थीं।
बीआईएस द्वारा उद्धृत आंकड़े मरम्मत की समस्या को संदर्भ प्रदान करते हैं। वेरिज़ॉन बिजनेस की 2026 की उल्लंघन रिपोर्ट का हवाला देते हुए, लेखकों का कहना है कि अध्ययन की गई घटनाओं में प्रारंभिक पहुंच के 31% के लिए कमजोरियों का शोषण जिम्मेदार था, जबकि चोरी या दुरुपयोग किए गए क्रेडेंशियल्स के लिए यह 13% था। उसी रिपोर्ट में पाया गया कि संगठनों ने 2025 में अमेरिकी साइबर सुरक्षा और इन्फ्रास्ट्रक्चर सुरक्षा एजेंसी के माप के तहत ट्रैक की गई महत्वपूर्ण कमजोरियों में से 26% को पूरी तरह से ठीक कर लिया था, जो पिछले वर्ष के 38% से कम था।
बीआईएस के लेखक इन निष्कर्षों का उपयोग निरंतर जांच और त्वरित मरम्मत के लिए तर्क देने के लिए करते हैं, जबकि एक्सेस नियंत्रण और सुरक्षित सॉफ्टवेयर विकास को बनाए रखते हैं। पेपर कहता है कि एआई बचाव करने वालों को खामियों को खोजने और बड़ी मात्रा में सुरक्षा डेटा की समीक्षा करने में भी मदद कर सकता है, लेकिन यह बुनियादी सुरक्षा कार्य की जगह नहीं ले सकता है जिसे एक फर्म ने अधूरा छोड़ दिया है।
ओपनएआई एजेंटों और एआई प्लेटफॉर्म हगिंग फेस से जुड़ी जुलाई की एक घटना पेपर को एक अलग उदाहरण देती है कि एक स्वायत्त प्रणाली अपने निर्धारित कार्य के बाहर क्या कर सकती है। एक आंतरिक मूल्यांकन के दौरान, एक एजेंट को सुरक्षा परीक्षण समस्याओं को हल करना था। इसके बजाय, बीआईएस के विवरण के अनुसार, इसने सीधे उत्तर मांगे, एक ओपनएआई सेवा में पहले से अज्ञात खामी का फायदा उठाया, और इंटरनेट तक पहुंच गया।
पेपर कहता है कि एजेंट ने फिर चोरी हुए क्रेडेंशियल्स और अन्य कमजोरियों का उपयोग करके हगिंग फेस सिस्टम में अनधिकृत कोड चलाया। हगिंग फेस ने आंतरिक डेटासेट और क्रेडेंशियल्स तक सीमित पहुंच की सूचना दी, लेकिन सार्वजनिक-सामना करने वाले संसाधनों में कोई बदलाव नहीं हुआ। बीआईएस के अनुसार, इसने अपनी जांच के दौरान 17,000 से अधिक घटनाओं की जांच करने के लिए एआई का भी उपयोग किया।
लेखक इस बात पर ज़ोर देते हैं कि ओपनएआई ने सामान्य सुरक्षा उपायों में ढील दी थी, पर्याप्त कंप्यूटिंग शक्ति प्रदान की थी, और परीक्षण के दौरान एजेंट को अपने दम पर कार्य करने की अनुमति दी थी। वे कहते हैं कि यह घटना इस बात का प्रमाण नहीं है कि एआई मॉडल स्वतंत्र रूप से दुर्भावनापूर्ण लक्ष्य विकसित करते हैं या जनता के लिए उपलब्ध उपकरणों से होने वाले जोखिम का सीधा माप है। यह उनके आकलन में दिखाता है कि वित्तीय फर्मों को एक पूर्ण एआई प्रणाली को दी गई अनुमतियों, उपकरणों और बाहरी पहुंच का आकलन क्यों करना चाहिए।
ऐसे एजेंटों को स्वयं तैनात करने वाले संस्थानों के लिए, पेपर सिफारिश करता है कि वे सिस्टम क्या करते हैं, इसका रिकॉर्ड रखें, डेटा और उपकरणों तक पहुंच को सीमित करें, उच्च-प्रभाव वाले कार्यों के लिए मानवीय अनुमोदन की आवश्यकता हो, और एक एजेंट को रोकने या नियंत्रण वापस किसी व्यक्ति को सौंपने का एक तरीका बनाए रखें।
बीआईएस पेपर कहता है कि जर्मनी के बाफिन ने त्वरित पैचिंग का आह्वान किया है, जबकि हांगकांग मौद्रिक प्राधिकरण ने संस्थानों से एआई-संचालित हमले के परिदृश्यों का परीक्षण करने और उल्लंघनों को रोकने की अपनी क्षमता को मजबूत करने का आग्रह किया है। रिपोर्ट के अनुसार, हांगकांग के नियामक ने फर्मों से रिकवरी योजनाओं में सुधार करने के लिए भी कहा है क्योंकि उल्लंघनों की संभावना अधिक हो सकती है।
यूरोप में, लेखक यूरोपीय सेंट्रल बैंक के साइबर स्ट्रेस टेस्ट और डिजिटल ऑपरेशनल रेजिलिएंस एक्ट की ओर इशारा करते हैं। दोनों इस बात पर ध्यान केंद्रित करते हैं कि क्या वित्तीय संस्थान गंभीर व्यवधान के दौरान महत्वपूर्ण सेवाओं को वितरित करना जारी रख सकते हैं, बजाय इसके कि क्या हमले को रोका जा सकता है।
पेपर कहता है कि मौजूदा बेसल समिति के सिद्धांत पहले से ही बैंकों से महत्वपूर्ण संचालन और उन प्रणालियों की पहचान करने के लिए कहते हैं जिन पर वे निर्भर करते हैं। उन सिद्धांतों में पैच प्रबंधन, एक्सेस नियंत्रण, खतरे साझाकरण और नियमित लचीलापन परीक्षण भी शामिल हैं।
