Inteligența artificială avansată lasă băncilor mai puțin timp pentru a remedia defectele software înainte ca atacatorii să le exploateze, conform unei noi lucrări publicate de Banca pentru Reglementări Internaționale.
Lucrarea Institutului de Stabilitate Financiară, publicată miercuri, se adaugă avertismentelor recente din partea dezvoltatorilor de AI și a reglementatorilor financiari, conform cărora modelele din ce în ce mai capabile accelerează atacurile cibernetice. Noul raport se concentrează pe capacitatea băncilor de a răspunde, autorii argumentând că instituțiile trebuie să accelereze atât repararea software-ului, cât și deciziile necesare pentru a le autoriza.
„Cea mai semnificativă dezvoltare adusă de AI de frontieră este descoperirea și exploatarea autonomă a vulnerabilităților,” au scris autorii, avertizând că evaluările periodice de securitate și aplicarea programată a patch-urilor sunt din ce în ce mai insuficiente. „Fereastra dintre descoperirea și exploatarea vulnerabilităților s-a redus de la săptămâni la minute.”
Lucrarea citează o analiză a Autorității de Conduită Financiară din Marea Britanie care constată că descoperirea vulnerabilităților depășește capacitatea firmelor de a răspunde, alături de ghidul Institutului de Finanțe Internaționale care cere aplicarea mai rapidă a patch-urilor—chiar și în afara ferestrelor de întreținere programate—și o acceptare mai mare a timpilor de nefuncționare planificați.
Un ghid voluntar separat din partea Grupului de Reziliență Operațională pe Piața Transversală din Marea Britanie anticipează o reducere a termenelor de reparație de la săptămâni la zile și, în unele cazuri, ore, conform lucrării.
Deși termenele menționate în raport sunt voluntare, reglementatorii presează băncile să acționeze mai rapid: BaFin din Germania a cerut o aplicare mai rapidă a patch-urilor, în timp ce autoritatea monetară din Hong Kong a solicitat un răspuns și o recuperare mai puternice în caz de încălcare, conform lucrării.
„De exemplu, Autoritatea Monetară din Hong Kong a încurajat instituțiile să integreze scenarii cibernetice bazate pe AI în programele de reziliență operațională și să-și îmbunătățească capacitățile de răspuns la incidente și de recuperare, recunoscând că scenariile de ‘încălcare’ pot deveni mai probabile pe măsură ce peisajul amenințărilor cibernetice continuă să evolueze,” a declarat raportul. „Similar, programul de testare la stres a rezilienței cibernetice al [Băncii Centrale Europene] și implementarea Actului de Reziliență Operațională Digitală subliniază capacitatea instituțiilor nu doar de a rezista atacurilor cibernetice, ci și de a continua să furnizeze servicii critice pe parcursul unor întreruperi operaționale severe.”
Avertismentul vine în urma unui apel din august pentru o apărare cibernetică mai puternică, susținut de OpenAI, Anthropic și peste 100 de alte organizații. Semnatarii au recomandat controale de acces mai stricte, partajarea amenințărilor și o supraveghere mai atentă a agenților AI.
Lucrarea BIS examinează intruziunea Hugging Face care a implicat modele OpenAI ca dovadă preliminară că capabilitățile demonstrate în teste se pot traduce în atacuri asupra sistemelor reale. OpenAI a descris ulterior cum s-au coordonat agenții săi în timpul operațiunii.
Deși autorii avertizează că măsurile de siguranță normale fuseseră relaxate și au fost furnizate resurse de calcul substanțiale, ei spun că incidentul nu reflectă direct riscurile prezentate de instrumentele AI disponibile public.
„Incidentul OpenAI nu este o indicație că modelele AI de frontieră pot dezvolta obiective malițioase pe cont propriu. Cu toate acestea, ele pot urmări o sarcină îngust definită cu consecințe neintenționate și dăunătoare,” au scris ei. „Semnificația acestei dezvoltări pentru reziliența cibernetică constă în combinarea unui model capabil cu un sistem software înconjurător care îi permite să planifice, să utilizeze instrumente și să acționeze autonom.”
BTC