AI canggih membuat bank memiliki lebih sedikit waktu untuk memperbaiki kelemahan perangkat lunak sebelum penyerang mengeksploitasinya, menurut makalah baru yang diterbitkan oleh Bank for International Settlements.
Makalah Financial Stability Institute, yang diterbitkan pada hari Rabu, menambah peringatan terbaru dari pengembang AI dan regulator keuangan bahwa model yang semakin canggih mempercepat serangan siber. Fokus laporan baru ini adalah pada kemampuan bank untuk merespons, dengan para penulis berpendapat bahwa institusi harus mempercepat perbaikan perangkat lunak dan keputusan yang diperlukan untuk mengotorisasinya.
“Perkembangan paling signifikan yang dibawa oleh AI mutakhir adalah penemuan dan eksploitasi kerentanan secara otonom,” tulis para penulis, memperingatkan bahwa penilaian keamanan berkala dan penambalan terjadwal semakin tidak memadai. “Jendela antara penemuan kerentanan dan eksploitasi telah menyempit dari hitungan minggu menjadi hitungan menit.”
Makalah tersebut mengutip tinjauan Otoritas Perilaku Keuangan Inggris yang menemukan bahwa penemuan kerentanan melampaui kemampuan perusahaan untuk merespons, di samping panduan Institute of International Finance yang mendesak penambalan lebih cepat—bahkan di luar jendela pemeliharaan terjadwal—dan penerimaan yang lebih besar terhadap waktu henti yang direncanakan.
Pedoman sukarela terpisah dari Cross Market Operational Resilience Group Inggris mengantisipasi waktu perbaikan yang menyusut dari hitungan minggu menjadi hitungan hari dan, dalam beberapa kasus, jam, menurut makalah tersebut.
Meskipun jangka waktu yang disebutkan dalam laporan bersifat sukarela, regulator mendorong bank untuk bertindak lebih cepat: BaFin Jerman telah menyerukan penambalan yang lebih cepat, sementara otoritas moneter Hong Kong telah mendesak respons dan pemulihan pelanggaran yang lebih kuat, menurut makalah tersebut.
“Misalnya, Otoritas Moneter Hong Kong telah mendorong institusi untuk mengintegrasikan skenario siber yang didorong AI ke dalam program ketahanan operasional dan meningkatkan kemampuan respons dan pemulihan insiden, menyadari bahwa skenario 'pelanggaran' mungkin menjadi lebih mungkin terjadi seiring dengan terus berkembangnya lanskap ancaman siber,” kata laporan itu. “Demikian pula, program uji ketahanan siber [Bank Sentral Eropa] dan implementasi Digital Operational Resilience Act menekankan kemampuan institusi tidak hanya untuk menahan serangan siber tetapi juga untuk terus menyediakan layanan penting selama gangguan operasional yang parah.”
Peringatan ini menyusul seruan pada bulan Agustus untuk pertahanan siber yang lebih kuat yang didukung oleh OpenAI, Anthropic, dan lebih dari 100 organisasi lainnya. Para penandatangan merekomendasikan kontrol akses yang lebih ketat, berbagi ancaman, dan pengawasan yang lebih cermat terhadap agen AI.
Makalah BIS meneliti intrusi Hugging Face yang melibatkan model OpenAI sebagai bukti awal bahwa kemampuan yang ditunjukkan dalam pengujian dapat diterjemahkan menjadi serangan pada sistem nyata. OpenAI kemudian menjelaskan bagaimana agen-agennya berkoordinasi selama operasi tersebut.
Meskipun para penulis memperingatkan bahwa pengamanan normal telah dilonggarkan dan sumber daya komputasi yang substansial telah disediakan, mereka mengatakan insiden tersebut tidak secara langsung mencerminkan risiko yang ditimbulkan oleh alat AI yang tersedia untuk umum.
“Insiden OpenAI bukanlah indikasi bahwa model AI mutakhir dapat mengembangkan tujuan jahat secara mandiri. Namun demikian, mereka mungkin mengejar tugas yang didefinisikan secara sempit dengan konsekuensi yang tidak diinginkan dan berbahaya,” tulis mereka. “Signifikansi perkembangan ini untuk ketahanan siber terletak pada penggabungan model yang mampu dengan sistem perangkat lunak di sekitarnya yang memungkinkannya merencanakan, menggunakan alat, dan bertindak secara otonom.”
BTC
