Theo một báo cáo mới được công bố bởi Ngân hàng Thanh toán Quốc tế (BIS), AI tiên tiến đang khiến các ngân hàng có ít thời gian hơn để khắc phục các lỗ hổng phần mềm trước khi kẻ tấn công khai thác chúng.
Báo cáo của Viện Ổn định Tài chính, được công bố vào thứ Tư, bổ sung vào các cảnh báo gần đây từ các nhà phát triển AI và các cơ quan quản lý tài chính rằng các mô hình ngày càng có khả năng đang đẩy nhanh các cuộc tấn công mạng. Trọng tâm của báo cáo mới là khả năng phản ứng của các ngân hàng, với các tác giả lập luận rằng các tổ chức phải tăng tốc cả việc sửa chữa phần mềm và các quyết định cần thiết để phê duyệt chúng.
“Sự phát triển đáng kể nhất do AI tiên tiến mang lại là việc tự động phát hiện và khai thác lỗ hổng,” các tác giả viết, cảnh báo rằng các đánh giá bảo mật định kỳ và vá lỗi theo lịch trình ngày càng không đủ. “Khoảng thời gian giữa việc phát hiện lỗ hổng và khai thác đã thu hẹp từ vài tuần xuống còn vài phút.”
Báo cáo trích dẫn một đánh giá của Cơ quan Quản lý Tài chính Vương quốc Anh (FCA) cho thấy việc phát hiện lỗ hổng đang vượt quá khả năng phản ứng của các công ty, cùng với hướng dẫn của Viện Tài chính Quốc tế (IIF) thúc giục vá lỗi nhanh hơn – ngay cả ngoài khung thời gian bảo trì theo lịch trình – và chấp nhận nhiều hơn việc ngừng hoạt động theo kế hoạch.
Theo báo cáo, hướng dẫn tự nguyện riêng biệt từ Nhóm Khả năng Phục hồi Hoạt động Thị trường Xuyên Quốc gia của Vương quốc Anh dự đoán thời gian sửa chữa sẽ rút ngắn từ vài tuần xuống còn vài ngày và, trong một số trường hợp, là vài giờ.
Mặc dù các mốc thời gian được đề cập trong báo cáo là tự nguyện, các cơ quan quản lý đang thúc đẩy các ngân hàng hành động nhanh hơn: BaFin của Đức đã kêu gọi vá lỗi nhanh hơn, trong khi cơ quan tiền tệ của Hồng Kông đã thúc giục phản ứng và phục hồi mạnh mẽ hơn sau vi phạm, theo báo cáo.
“Ví dụ, Cơ quan Tiền tệ Hồng Kông đã khuyến khích các tổ chức tích hợp các kịch bản mạng do AI điều khiển vào các chương trình phục hồi hoạt động và tăng cường khả năng phản ứng và phục hồi sự cố, công nhận rằng các kịch bản ‘vi phạm’ có thể trở nên có khả năng xảy ra hơn khi bối cảnh mối đe dọa mạng tiếp tục phát triển,” báo cáo cho biết. “Tương tự, chương trình kiểm tra căng thẳng về khả năng phục hồi mạng của [Ngân hàng Trung ương Châu Âu] và việc thực hiện Đạo luật Khả năng Phục hồi Hoạt động Kỹ thuật số nhấn mạnh khả năng của các tổ chức không chỉ chống chọi với các cuộc tấn công mạng mà còn tiếp tục cung cấp các dịch vụ quan trọng trong suốt các gián đoạn hoạt động nghiêm trọng.”
Cảnh báo này được đưa ra sau lời kêu gọi tăng cường phòng thủ mạng vào tháng 8 được ủng hộ bởi OpenAI, Anthropic và hơn 100 tổ chức khác. Các bên ký kết đã khuyến nghị kiểm soát truy cập chặt chẽ hơn, chia sẻ thông tin về mối đe dọa và giám sát chặt chẽ hơn các tác nhân AI.
Báo cáo của BIS xem xét vụ xâm nhập Hugging Face liên quan đến các mô hình OpenAI như bằng chứng sơ bộ cho thấy các khả năng được chứng minh trong các thử nghiệm có thể chuyển thành các cuộc tấn công vào các hệ thống thực. OpenAI sau đó đã mô tả cách các tác nhân của họ phối hợp trong quá trình hoạt động.
Mặc dù các tác giả cảnh báo rằng các biện pháp bảo vệ thông thường đã được nới lỏng và các tài nguyên máy tính đáng kể đã được cung cấp, họ cho rằng sự cố này không trực tiếp phản ánh rủi ro do các công cụ AI có sẵn công khai gây ra.
“Sự cố OpenAI không phải là dấu hiệu cho thấy các mô hình AI tiên tiến có thể tự phát triển các mục tiêu độc hại. Tuy nhiên, chúng có thể theo đuổi một nhiệm vụ được xác định hẹp với những hậu quả không mong muốn và có hại,” họ viết. “Tầm quan trọng của sự phát triển này đối với khả năng phục hồi mạng nằm ở việc kết hợp một mô hình có khả năng với một hệ thống phần mềm xung quanh cho phép nó lập kế hoạch, sử dụng công cụ và hành động tự chủ.”
BTC