За даними нового документу, опублікованого Банком міжнародних розрахунків (BIS), вдосконалений ШІ залишає банкам менше часу для виправлення недоліків у програмному забезпеченні до того, як зловмисники їх використають.
Документ Інституту фінансової стабільності (Financial Stability Institute), опублікований у середу, доповнює нещодавні попередження від розробників ШІ та фінансових регуляторів про те, що дедалі потужніші моделі прискорюють кібератаки. Новий звіт зосереджений на здатності банків реагувати, при цьому автори стверджують, що установи повинні прискорити як ремонт програмного забезпечення, так і рішення, необхідні для їхнього затвердження.
«Найважливішим розвитком, спричиненим передовим ШІ, є автономне виявлення та використання вразливостей», – написали автори, попереджаючи, що періодичні оцінки безпеки та планові оновлення стають дедалі недостатніми. «Вікно між виявленням вразливості та її використанням скоротилося з тижнів до хвилин».
У документі посилаються на огляд Управління з фінансового нагляду Великобританії (U.K. Financial Conduct Authority), який виявив, що виявлення вразливостей випереджає здатність фірм реагувати, а також на рекомендації Інституту міжнародних фінансів (Institute of International Finance), що закликають до швидшого оновлення — навіть поза плановими вікнами обслуговування — та більшого прийняття запланованих простоїв.
Окремі добровільні рекомендації від Британської групи з операційної стійкості на ринку (U.K.’s Cross Market Operational Resilience Group) передбачають скорочення термінів ремонту з тижнів до днів, а в деяких випадках — до годин, згідно з документом.
Хоча терміни, згадані у звіті, є добровільними, регулятори тиснуть на банки, щоб вони діяли швидше: німецький BaFin закликав до швидшого оновлення, тоді як монетарна влада Гонконгу закликала до посилення реагування на порушення та відновлення, згідно з документом.
«Наприклад, Валютно-фінансове управління Гонконгу (Hong Kong Monetary Authority) заохочувало установи інтегрувати кіберсценарії, керовані ШІ, у програми операційної стійкості та посилити можливості реагування на інциденти та відновлення, визнаючи, що сценарії «злому» можуть стати більш ймовірними в міру розвитку ландшафту кіберзагроз», – йдеться у звіті. «Аналогічно, програма стрес-тестування кіберстійкості [Європейського центрального банку] та впровадження Закону про цифрову операційну стійкість (Digital Operational Resilience Act) підкреслюють здатність установ не лише протистояти кібератакам, але й продовжувати надавати критично важливі послуги протягом серйозних операційних збоїв».
Це попередження слідує за серпневим закликом до посилення кіберзахисту, підтриманим OpenAI, Anthropic та понад 100 іншими організаціями. Підписанти рекомендували посилити контроль доступу, обмін інформацією про загрози та більш ретельний нагляд за агентами ШІ.
У документі BIS розглядається інцидент із проникненням у Hugging Face за участю моделей OpenAI як попередній доказ того, що можливості, продемонстровані в тестах, можуть бути перетворені на атаки на реальні системи. Пізніше OpenAI описала, як її агенти координували свої дії під час операції.
Хоча автори застерігають, що звичайні заходи безпеки були послаблені, а значні обчислювальні ресурси надані, вони заявляють, що інцидент не відображає безпосередньо ризиків, що створюються загальнодоступними інструментами ШІ.
«Інцидент з OpenAI не є показником того, що передові моделі ШІ можуть самостійно розробляти зловмисні цілі. Проте вони можуть виконувати вузько визначене завдання з ненавмисними та шкідливими наслідками», – написали вони. «Значення цього розвитку для кіберстійкості полягає в поєднанні потужної моделі з навколишньою програмною системою, яка дозволяє їй планувати, використовувати інструменти та діяти автономно».
BTC
